Η κυβερνοασφάλεια δεν αποτελεί πλέον μόνο τεχνικό ζήτημα για το τμήμα IT. Για πολλές επιχειρήσεις και οργανισμούς αποτελεί και κανονιστική υποχρέωση. Η ευρωπαϊκή Οδηγία NIS2 έχει ενσωματωθεί στην ελληνική νομοθεσία με τον Ν. 5160/2024, δημιουργώντας ένα ευρύτερο πλαίσιο απαιτήσεων για τη διαχείριση των κινδύνων κυβερνοασφάλειας.
Για μια ελληνική επιχείρηση, τα βασικά ερωτήματα είναι πρακτικά: Μας αφορά η NIS2; Ποιες υποχρεώσεις δημιουργεί; Και τι πρέπει να οργανώσουμε στην πράξη;
Τι είναι η NIS2;
Η NIS2 είναι η ευρωπαϊκή Οδηγία 2022/2555 για την ενίσχυση της κυβερνοασφάλειας και της ανθεκτικότητας οργανισμών που δραστηριοποιούνται σε κρίσιμους ή σημαντικούς τομείς της οικονομίας και της δημόσιας διοίκησης.
Στην Ελλάδα η Οδηγία ενσωματώθηκε στο εθνικό δίκαιο με τον Ν. 5160/2024. Το πλαίσιο δεν περιορίζεται στην εγκατάσταση κάποιου συγκεκριμένου εργαλείου ασφαλείας. Απαιτεί οργανωμένη προσέγγιση στη διαχείριση κινδύνων, στα περιστατικά ασφάλειας, στην επιχειρησιακή συνέχεια και στην προστασία συστημάτων δικτύου και πληροφοριών.
Ποιες επιχειρήσεις αφορά;
Η υπαγωγή στη NIS2 δεν καθορίζεται απλώς από το αν μια εταιρεία χρησιμοποιεί πληροφοριακά συστήματα. Εξετάζονται, μεταξύ άλλων, ο τομέας δραστηριότητας, το μέγεθος και συγκεκριμένα κριτήρια που προβλέπονται από το ισχύον πλαίσιο.
Οι οργανισμοί που εμπίπτουν στο πεδίο εφαρμογής κατηγοριοποιούνται σε Βασικές και Σημαντικές Οντότητες. Στους τομείς που καλύπτει το πλαίσιο περιλαμβάνονται, ανάλογα με τις ειδικότερες προϋποθέσεις, δραστηριότητες όπως:
- ενέργεια,
- μεταφορές,
- υγεία,
- τραπεζικές και χρηματοοικονομικές υποδομές,
- πόσιμο νερό και λύματα,
- ψηφιακές υποδομές,
- διαχείριση υπηρεσιών ΤΠΕ,
- δημόσια διοίκηση,
- ταχυδρομικές και ταχυμεταφορικές υπηρεσίες,
- διαχείριση αποβλήτων,
- παραγωγή και διανομή τροφίμων,
- κατασκευαστικός τομέας,
- ορισμένες μεταποιητικές δραστηριότητες,
- ψηφιακοί πάροχοι και
- έρευνα.
Υπάρχουν ειδικότεροι κανόνες και εξαιρέσεις, ενώ σε ορισμένες περιπτώσεις μια οντότητα μπορεί να προσδιοριστεί ως Βασική ή Σημαντική ανεξάρτητα από το μέγεθός της. Για τον λόγο αυτό, μια επιχείρηση δεν πρέπει να βασίζεται μόνο σε έναν γενικό κανόνα αριθμού εργαζομένων ή κύκλου εργασιών για να αποφασίσει αν υπάγεται.
Πώς μπορεί μια επιχείρηση να ελέγξει αν υπάγεται;
Η Εθνική Αρχή Κυβερνοασφάλειας διαθέτει επίσημο εργαλείο καθοδήγησης για τον έλεγχο του πεδίου εφαρμογής του Ν. 5160/2024. Αυτό αποτελεί ένα χρήσιμο πρώτο βήμα για έναν οργανισμό που θέλει να εξετάσει αν εμπίπτει στις σχετικές κατηγορίες.
Όταν υπάρχει αμφιβολία για τη νομική υπαγωγή μιας συγκεκριμένης εταιρείας, απαιτείται κατάλληλη κανονιστική ή νομική αξιολόγηση. Η τεχνική αξιολόγηση κυβερνοασφάλειας δεν υποκαθιστά αυτή τη διαδικασία.
Τι απαιτεί η NIS2 από τις υπόχρεες οντότητες;
Ο Ν. 5160/2024 και το σχετικό Εθνικό Πλαίσιο απαιτήσεων αντιμετωπίζουν την κυβερνοασφάλεια ως διαδικασία διαχείρισης κινδύνου και όχι ως αγορά ενός μεμονωμένου προϊόντος.
Στην πράξη, μια υπόχρεη οντότητα πρέπει να εξετάσει τεχνικά και οργανωτικά μέτρα σε περιοχές όπως:
- πολιτικές ανάλυσης κινδύνων και ασφάλειας πληροφοριακών συστημάτων,
- διαχείριση και αντιμετώπιση περιστατικών,
- επιχειρησιακή συνέχεια, backup και αποκατάσταση μετά από καταστροφή,
- ασφάλεια της εφοδιαστικής αλυσίδας και των προμηθευτών,
- διαχείριση ευπαθειών και ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση συστημάτων,
- αξιολόγηση της αποτελεσματικότητας των μέτρων κυβερνοασφάλειας,
- βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση προσωπικού,
- έλεγχο πρόσβασης και διαχείριση περιουσιακών στοιχείων,
- κρυπτογραφία όπου απαιτείται και
- χρήση πολυπαραγοντικής ή άλλης κατάλληλης ασφαλούς αυθεντικοποίησης.
Το ελληνικό Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας
Η εφαρμογή του Ν. 5160/2024 έχει εξειδικευτεί περαιτέρω με το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων. Το πλαίσιο καθορίζει 22 απαιτήσεις, οι οποίες αναλύονται σε τεχνικά, οργανωτικά και επιχειρησιακά μέτρα.
Η προσέγγιση βασίζεται στον κίνδυνο. Αυτό σημαίνει ότι η εφαρμογή των μέτρων δεν πρέπει να γίνεται μηχανικά, αλλά να λαμβάνει υπόψη το περιβάλλον, τα συστήματα, τις υπηρεσίες, τις απειλές και τις πραγματικές ανάγκες κάθε οργανισμού.
Εγγραφή στο Μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας
Οι Βασικές και Σημαντικές Οντότητες που υπάγονται στον Ν. 5160/2024 έχουν υποχρέωση εγγραφής στο σχετικό Μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας.
Η εγγραφή δεν πρέπει να συγχέεται με την τεχνική συμμόρφωση. Αποτελεί μέρος των υποχρεώσεων μιας υπόχρεης οντότητας, αλλά από μόνη της δεν αποδεικνύει ότι έχουν εφαρμοστεί τα απαιτούμενα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας.
Τι συμβαίνει όταν υπάρξει σοβαρό περιστατικό;
Η NIS2 προβλέπει υποχρεώσεις γνωστοποίησης σημαντικών περιστατικών στις αρμόδιες αρχές. Για αυτό μια υπόχρεη επιχείρηση χρειάζεται οργανωμένη διαδικασία incident response, ώστε να μπορεί να εντοπίσει, να αξιολογήσει, να περιορίσει και να αναφέρει ένα περιστατικό σύμφωνα με τις ισχύουσες απαιτήσεις.
Ένα σχέδιο αντιμετώπισης περιστατικών δεν πρέπει να δημιουργείται την ημέρα μιας επίθεσης. Πρέπει να έχουν ήδη καθοριστεί οι υπεύθυνοι, τα κανάλια επικοινωνίας, οι διαδικασίες κλιμάκωσης και οι ενέργειες που απαιτούνται όταν εντοπιστεί ένα σοβαρό συμβάν.
Πρακτικά βήματα προετοιμασίας
1. Ελέγξτε αν η επιχείρηση εμπίπτει στο πεδίο εφαρμογής
Χρησιμοποιήστε τις επίσημες πληροφορίες και το εργαλείο καθοδήγησης της Εθνικής Αρχής Κυβερνοασφάλειας και, όπου απαιτείται, ζητήστε κατάλληλη νομική ή κανονιστική αξιολόγηση.
2. Καταγράψτε συστήματα και κρίσιμα δεδομένα
Δημιουργήστε σαφή εικόνα των servers, endpoints, cloud υπηρεσιών, εταιρικών λογαριασμών, δικτυακού εξοπλισμού, εφαρμογών και δεδομένων που είναι κρίσιμα για τη λειτουργία της επιχείρησης.
3. Πραγματοποιήστε αξιολόγηση κινδύνων
Εξετάστε ποιες απειλές μπορούν να επηρεάσουν τα κρίσιμα συστήματα και ποια μέτρα υπάρχουν ήδη. Ένα risk assessment βοηθά να εντοπιστούν τα σημαντικότερα κενά αντί να εφαρμόζονται αποσπασματικές λύσεις χωρίς προτεραιοποίηση.
4. Ελέγξτε τα βασικά τεχνικά μέτρα
Εξετάστε μεταξύ άλλων MFA, διαχείριση προνομιακών λογαριασμών, ενημερώσεις και patches, endpoint protection, firewall, ασφαλή απομακρυσμένη πρόσβαση, logging και monitoring.
5. Ελέγξτε backup και business continuity
Τα αντίγραφα ασφαλείας πρέπει να προστατεύονται κατάλληλα και να δοκιμάζεται η δυνατότητα πραγματικής ανάκτησης. Παράλληλα, η επιχείρηση χρειάζεται σχέδιο για τη συνέχιση κρίσιμων λειτουργιών όταν ένα πληροφοριακό σύστημα δεν είναι διαθέσιμο.
6. Αξιολογήστε προμηθευτές και συνεργάτες
Η ασφάλεια μιας επιχείρησης εξαρτάται και από τρίτους παρόχους. Cloud υπηρεσίες, εξωτερικό IT, εφαρμογές και άλλοι κρίσιμοι προμηθευτές πρέπει να λαμβάνονται υπόψη στη διαδικασία διαχείρισης κινδύνων.
7. Δημιουργήστε και δοκιμάστε Incident Response Plan
Καθορίστε ποιος κάνει τι όταν συμβεί ένα περιστατικό. Το σχέδιο πρέπει να είναι γνωστό στους αρμόδιους και να δοκιμάζεται περιοδικά, ώστε να μην παραμένει απλώς ένα έγγραφο.
8. Τεκμηριώστε τα μέτρα
Η κυβερνοασφάλεια χρειάζεται τεκμηρίωση. Πολιτικές, risk assessments, διαδικασίες, αποτελέσματα ελέγχων, διορθωτικές ενέργειες και άλλα σχετικά στοιχεία βοηθούν την επιχείρηση να αποδεικνύει ότι η διαχείριση κινδύνων αποτελεί πραγματική και συνεχή διαδικασία.
Η NIS2 δεν είναι checklist αγοράς προϊόντων
Ένα νέο firewall, ένα antivirus ή η ενεργοποίηση του MFA μπορεί να αποτελούν σημαντικά μέτρα, αλλά κανένα μεμονωμένο προϊόν δεν ισοδυναμεί με συμμόρφωση με τη NIS2.
Η ουσία βρίσκεται στη συστηματική διαχείριση του κινδύνου: να γνωρίζει η επιχείρηση ποια συστήματα προστατεύει, ποιες απειλές αντιμετωπίζει, ποια μέτρα εφαρμόζει, πώς ελέγχει την αποτελεσματικότητά τους και πώς αντιδρά όταν κάτι πάει στραβά.
Πώς μπορεί να βοηθήσει η DataShield;
Η DataShield μπορεί να υποστηρίξει το τεχνικό σκέλος της προετοιμασίας κυβερνοασφάλειας, βοηθώντας μια επιχείρηση να αξιολογήσει την υπάρχουσα IT υποδομή, να εντοπίσει τεχνικά κενά και να οργανώσει προτεραιότητες βελτίωσης.
Ανάλογα με τις ανάγκες της επιχείρησης, η τεχνική αξιολόγηση μπορεί να εξετάσει θέματα όπως πρόσβαση χρηστών, MFA, endpoints, δίκτυο, Microsoft 365 και cloud περιβάλλοντα, backup, monitoring, patching και βασικές διαδικασίες αντιμετώπισης περιστατικών.
Η DataShield δεν υποκαθιστά τη νομική αξιολόγηση σχετικά με το αν μια συγκεκριμένη επιχείρηση υπάγεται στον Ν. 5160/2024. Μπορεί όμως να βοηθήσει στην κατανόηση της πραγματικής τεχνικής κατάστασης της υποδομής και στον σχεδιασμό των ενεργειών κυβερνοασφάλειας που απαιτούνται για τη μείωση του κινδύνου.
Ένας αρχικός έλεγχος της IT υποδομής είναι ένα πρακτικό σημείο εκκίνησης για να εντοπίσετε ποια μέτρα υπάρχουν ήδη και πού χρειάζονται βελτιώσεις.
