Συντάκτης: Ειρήνη Γκίνη

Τα industrial control systems αφορούν σε συστήματα βιομηχανικού αυτοματισμού για τη συλλογή δεδομένων, το visualization και τον έλεγχο διαδικασιών που εκτελούνται σε βιομηχανικές μονάδες και σε μονάδες κρίσιμων υποδομών, όπως είναι η ενέργεια. Η προστασία τους από ψηφιακές επιθέσεις είναι ζωτικής σημασίας, καθώς τα συστήματα αυτά διασφαλίζουν τη συνέχεια επιχειρησιακών διαδικασιών, όπως ελλιμενισμός πλοίων, παραγωγή τροφής και φαρμακευτικών σκευασμάτων, εξόρυξη ενεργειακών πόρων κ.α. Τυπικά, τα industrial control systems περιλαμβάνουν συστήματα SCADA (supervisory control and data acquisition), DCS (distributed control systems), programmable logic controllers (PLC) και έξυπνες ηλεκτρονικές συσκευές (IED). Τα συστήματα αυτά μέχρι πρότινος λειτουργούσαν αυτόνομα από το IT, ωστόσο η αναβάθμιση των αυτοματισμών μέσω τηλεματικής και απομακρυσμένης πρόσβασης μέσω internet, καθώς και η διάδοση του IioT (Industrial Internet of Things) και η συνακόλουθη σύνδεση των Operational Technologies (OT) με το IT βελτίωσαν την απόδοση των συστημάτων, ωστόσο τα κατέστησε πιο ευάλωτα σε ψηφιακές επιθέσεις.

Πολυμέτωπες επιθέσεις σε ένα “θολό” τοπίο
Οι ψηφιακές επιθέσεις σε industrial control systems αυξάνονται όσο προχωρά ο ψηφιακός μετασχηματισμός των συστημάτων παραγωγής. Σύμφωνα με το ICS-CERT Monitor (υπάγεται στο Υπουργείο Άμυνας των ΗΠΑ), κατά το διάστημα 2009-2014, ο αριθμός των επιθέσεων σε ICS-SCADA συστήματα αυξήθηκε κατά 27 φορές! Περισσότερα από τα μισά περιστατικά είχαν ως στόχο κρίσιμες υποδομές κρατών ενώ το 55% αφορούσε σε advance persistent threats. Τα ευρήματα επιβεβαιώνει και το Industrial Cybersecurity Threat Briefing 2016 της Booz Allen Hamilton: σύμφωνα με την έρευνα, το 34% των οργανισμών που χρησιμοποιούν industrial control systems ανέφερε περιστατικά ασφάλειας περισσότερες από δύο φορές μέσα στο έτος. Εντούτοις, οι οργανισμοί εξακολουθούν να έχουν ασαφή εικόνα για τις επιθέσεις στα βιομηχανικά συστήματα.

Σύμφωνα με έρευνα που δημοσίευσε το SANS Institute το 2016, το 32% των οργανισμών που ανέφεραν περιστατικά ασφάλειας στα industrial control systems δεν μπορούσε να πει με βεβαιότητα πόσες φορές έπεσε θύμα ψηφιακής επίθεσης, ενώ το 42% αυτών δεν μπορούσε να εντοπίσει την πηγή της επίθεσης. To 24% των συμμετεχόντων χαρακτηρίζει τις επιθέσεις στα industrial control systems ως κρίσιμη απειλή -ποσοστό που διαμορφωνόταν στο 15% στην αντίστοιχη έρευνα του SANS Institute το 2015. Το 61% των ερωτηθέντων δηλώνουν ότι οι εξωτερικές απειλές είναι ο σημαντικότερος παράγοντας κινδύνου για τα βιομηχανικά συστήματα ελέγχου, ενώ ακολουθούν σε σειρά σπουδαιότητας οι εσωτερικοί παράγοντες, όπως ανθρώπινο λάθος ή δολιοφθορά από το προσωπικό της επιχείρησης (42%) και οι οικογένειες malware (41%).

Η Ουκρανία είναι μόνο η αρχή
Στις 23 Δεκεμβρίου του προηγούμενου έτους, 225.000 νοικοκυριά στη Δυτική Ουκρανία έμειναν χωρίς ρεύμα, εξαιτίας της επίθεσης BlackEnergy στους υπολογιστές και τα συστήματα SCADA της εταιρείας Kyivoblenerg. Οι επιτιθέμενοι χρησιμοποίησαν μια σειρά από εργαλεία, από phishing email και malware μέχρι DDoS επίθεση στο τηλεφωνικό κέντρο της εταιρείας, ώστε οι πρώτες διακοπές ρεύματος να περάσουν απαρατήρητες και να μεγιστοποιηθεί η ζημιά. Οι αρχές της χώρας κατηγόρησαν το Κρεμλίνο για την επίθεση, λόγω των γεωπολιτικών διαφορών ανάμεσα σε Ρωσία και Ουκρανία, και κατέδειξαν ως ένοχο την ομάδα Ρώσων hacker Sandworm.

Η επίθεση του 2015 έμεινε στην ιστορία ως το πρώτο blackout που προέκυψε από ψηφιακή επίθεση. Ωστόσο δεν ήταν η μόνη • τον Δεκέμβριο που μας πέρασε, η Ουκρανία βίωσε πάλι γενικευμένο blackout, για το οποίο οι αρχές επιβεβαίωσαν εκ νέου ότι ήταν αποτέλεσμα ψηφιακής επίθεσης. Η επίθεση δεν ήταν αντίστοιχου βεληνεκούς με την επίθεση του 2015, ωστόσο φανέρωσε ένα ακόμα μεγαλύτερο πρόβλημα: σύμφωνα με τους ειδικούς που συμμετείχαν στις έρευνες, οι hackers χρησιμοποίησαν παρόμοια μεθοδολογία με το 2015, όμως δεν είχαν σκοπό να προκαλέσουν εκτεταμένη ζημιά στις υποδομές ενέργειας. Με άλλα λόγια, ήταν περισσότερο μια επίδειξη δύναμης από την πλευρά των hackers, γεγονός που κάνει τους ειδικούς να χαρακτηρίζουν την Ουκρανία ως χώρα “πειραματόζωο” για τη διενέργεια επιθέσεων στα industrial control systems κρίσιμων υποδομών -δεδομένου ότι αναφέρθηκαν κυβερνοεπιθέσεις στον οργανισμό σιδηροδρόμων και στο Υπουργείο Οικονομικών της χώρας. Η οργάνωση και η μεθοδολογία των επιτιθέμενων καταδεικνύει τη σημασία των βιομηχανικών συστημάτων κρίσιμων υποδομών.

Οι ψηφιακές επιθέσεις σε industrial control systems για σκοπούν κυβερνοπολέμου είναι μόνο μία, αλλά εξόχως σημαντική διάσταση της ασφάλειας των industrial control systems. Σύμφωνα με στοιχεία από τις ΗΠΑ, πολλές από τις επιθέσεις σε industrial control systems ήταν reconnaissance attacks, με στόχο τη συγκέντρωση σημαντικών πληροφοριών για vulnerabilities, οι οποίες στη συνέχεια πωλούνται στο “χρηματιστήριο” των ψηφιακών απειλών.

Σε αυτό το πλαίσιο, διαστάσεις φαινομένου παίρνει και η εμπορική διάθεση παραβιασμένων SCADA συστημάτων στα fora των hackers ενώ πολλές επιθέσεις έχουν χαρακτήρα βιομηχανικής κατασκοπίας, καθώς χρησιμοποιούν τα industrial control systems για συλλογή σημαντικών πληροφοριών από το εταιρικό δίκτυο όπως πχ. η απόρρητη σύνθεση φαρμακευτικών σκευασμάτων. Λόγω της κρισιμότητας των υποδομών που ελέγχουν τα βιομηχανικά συστήματα, συχνές είναι και οι εκδηλώσεις επιθέσεων ransomware.

Δύο διαφορετικοί κόσμοι, ένα κοινό πρόβλημα
Η κρισιμότητα των στόχων που προστατεύουν τα industrial control systems δεν αφήνει περιθώρια εφησυχασμού. Ωστόσο η ψηφιοποίηση των βιομηχανικών διαδικασιών θέτει νέα δεδομένα για τους οργανισμούς, οι οποίοι υποχρεούνται πλέον να επανεξετάσουν το σύνολο των διαδικασιών τους. Για να συμπληρωθεί το παζλ, αξίζει να αναφερθεί ότι η προστασία των κρίσιμων υποδομών, στις οποίες συχνά χρησιμοποιούνται industrial control systems αποτελεί το βασικό αντικείμενο της ευρωπαϊκής οδηγίας NIS Directive • ως εκ τούτου, υπάρχει πλέον και θέμα κανονιστικής συμμόρφωσης στο πεδίο των ασφάλειας των βιομηχανικών συστημάτων. Τα κενά ασφάλειας στα industrial control systems δημιουργούνται εν πολλοίς εξαιτίας του ότι, μέχρι πρότινος, τα industrial control systems λειτουργούσαν ως ένας ξεχωριστός κόσμος από το IT. Κι ενώ τα θέματα ψηφιακής ασφάλειας θεωρητικά αφορούν τον Security Officer, αυτό δεν ισχύει απαραίτητα στο πεδίο της ασφάλειας των industrial control systems. Και ενώ η προφανής λύση είναι η δημιουργία συνεργειών ανάμεσα στο operational technology και στο IT, η εφαρμογή της λύσης αυτής δεν είναι όσο απλή φαίνεται.

Για παράδειγμα, η διακοπή λειτουργίας συστημάτων για εφαρμογή patches είναι μια συνηθισμένη διαδικασία στο enterprise IT Security, όμως αποτελεί την εσχάτη των λύσεων για βιομηχανικές μονάδες και κρίσιμες υποδομές, όπου η διαθεσιμότητα των συστημάτων βρίσκεται στην κορυφή των προτεραιοτήτων.

Σε πολλές περιπτώσεις, τα industrial control systems τρέχουν πάνω σε legacy συστήματα τα οποία δημιουργήθηκαν πολύ πριν γιγαντωθεί το πρόβλημα των ψηφιακών επιθέσεων και η ψηφιοποίηση γίνει νόρμα. Πολλά από αυτά δεν έχουν διαδικασίες authorization: στο Enterprise IT Security Conference που πραγματοποιήθηκε τον Μάρτιο του 2016 από το netweek, ο καταλανός ειδικός Joan Figueras έδειξε στο κοινό πόσο εύκολο είναι να διεισδύσεις σε ένα σύστημα απομακρυσμένης πρόσβασης μιας ανεμογεννήτριας στη Βαρκελώνη, φτάνοντας μισό βήμα πριν σταματήσει τη λειτουργία της -και όλα αυτά από τη συνεδριακή αίθουσα στην Αθήνα!

Σε κάθε περίπτωση όμως, η κοινή δράση ανάμεσα σε OT και IT, με τη σύσταση ομάδων που θα αποτελούνται από information security specialists και άτομα της παραγωγής είναι η μοναδική λύση για την ενίσχυση της ασφάλειας των ICS, ώστε να καταγραφούν οι συνδέσεις ανάμεσα στα βιομηχανικά συστήματα και να εντοπιστούν τα τρωτά σημεία αυτών.

Εξίσου σημαντική είναι η ενημέρωση του επιχειρηματικού κόσμου για τους ψηφιακούς κινδύνους που απειλούν τα industrial control systems αλλά και το εξειδικευμένο security training στο προσωπικό των οργανισμών σε επίμαχους κλάδους.

Σύμφωνα με έρευνα του ISACA για το 2015, το 53% των οργανισμών χρειάζεται τουλάχιστον τρεις μήνες για να καλύψει μια θέση cybersecurity, ενώ το 9% αυτών δεν κατορθώνει ποτέ να βρει τον κατάλληλο υποψήφιο. Κατά την ίδια περίοδο, το “The 2015 (ISC)2 Global Information Security Workforce Study” πιστοποιούσε ότι το 62% των οργανισμών εκτιμά ότι τα τμήματα information security είναι υποστελεχωμένα. Σύμφωνα με την ίδια έρευνα, το 2020 θα υπάρχει έλλειμμα της τάξης του 1,5 εκατομμυρίου θέσεων για επαγγελματίες information security. Τα στελέχη που συμμετέχουν στις έρευνες επισημαίνουν ότι η δυσκολία εύρεσης στελεχών με τις κατάλληλες cybersecurity δεξιότητες έχει ως αποτέλεσμα συχνές και κοστοβόρες διαρροές δεδομένων. Μάλιστα, στην πρόσφατη έρευνα “Hacking the Skills Shortage” η οποία πραγματοποιήθηκε από την Intel Security και το Center for Strategic and International Studies (CSIS) σε 8 χώρες, το 71% των οργανισμών δήλωσε ότι η έλλειψη ταλαντούχων στελεχών στον τομέα της Ασφάλειας Πληροφοριών έχει άμεση και μετρήσιμη ζημία στην επιχειρηματική δραστηριότητα, ενώ το 33% τόνισε τα προβλήματα υποστελέχωσης τους στο cubersecurity είναι γνωστά στους hackers και εκμεταλλεύσιμα από αυτούς.

Όταν τα… hard skills είναι το πρόβλημα
Οι συμμετέχοντες στην έρευνα του ISACA δηλώνουν ότι παραπάνω από τα μισά βιογραφικά που υποβάλλονται για τη θέση δεν διαθέτουν τις hands-on δεξιότητες που απαιτεί η δουλειά (νούμερο ένα αποτρεπτικός παράγοντας) ενώ αρνητικό ρόλο παίζει και η έλλειψη πιστοποιήσεων. Όμως οι συμμετέχοντες στην έρευνα του ISACA διαπιστώνουν κενό δεξιοτήτων και γνώσεων και στο υφιστάμενο προσωπικό Ασφάλειας Πληροφοριών, επισημαίνοντας ως σημαντικότερες ελλείψεις την κατανόηση του business (75%) αλλά και την ικανότητα επικοινωνίας και τεχνικές δεξιότητες (61%). Η αδυναμία κατανόησης του business και η όχι και τόσο αποτελεσματική επικοινωνία είναι προβλήματα που οι ηγέτες της τεχνολογίας συναντούν και σε άλλους τομείς της Πληροφορικής. Στην περίπτωση του information security όμως, η έλλειψη κατάρτισης είναι το πραγματικό πρόβλημα. Η έρευνα του CSIS διακρίνει τα intrusion detection, secure software development και attack mitigation ως τις πλέον δυσεύρετες δεξιότητες στους επαγγελματίες Ασφάλειας Πληροφοριών.

Την ίδια στιγμή, ο ψηφιακός μετασχηματισμός του επιχειρείν φέρνει την ψηφιακή ασφάλεια κοντά σε μη ευάριθμες λειτουργίες του οργανισμού: ως εκ τούτου, οι information security επαγγελματίες καλούνται πλέον να έχουν γνώση αντικειμένων όπως Software Architecture, Network Attached Storage (NAS), Software Issue Resolution, Internet Security, Legal Compliance, Data Communications, Platform as a Service (PaaS), Computer Forensics, Internal Auditing και Apache Hadoop (αυτές είναι οι πιο “σπάνιες δεξότητες” στο πεδίο του cybersecurity, σύμφωνα με το Job Market Intelligence: Cybersecurity Jobs, 2015–2016 Burning Glass Technologies). Τις τάσεις διαμορφώνει και η ολοένα και στενότερη σύνδεση της Ασφάλειας Πληροφοριών με την κανονιστική συμμόρφωση, καθώς, σύμφωνα με το Partnership for Public Service, οι γνώσεις των οποίων η ζήτηση αυξάνει με γρηγορότερους ρυθμούς αφορούν, μεταξύ άλλων, σε Audit Planning,HIPAA (πρόκειται για το πλαίσιο προστασίας δεδομένων σε οργανισμούς υγείας), Risk Management και Internal Auditing.

Φάκελος εκπαίδευση
Το πρόβλημα στη στελέχωση των τμημάτων Ασφάλειας Πληροφοριών αφορά εξόχως στην προσφορά δεξιοτήτων, και όχι τόσο σε αδυναμία προσέλκυσης κατάλληλων υποψηφίων. Σύμφωνα με την έρευνα του CSIS, ο μέσος μισθός ενός cybersecurity επαγγελματία είναι 2,7 πάνω από τον μέσο όρο μισθών της αγοράς, ενώ η επένδυση για Ασφάλεια Πληροφοριών (η οποία περιλαμβάνει κονδύλια για ανάπτυξη και εκπαίδευση προσωπικού) αναμένεται να αυξηθεί από 7,4% έως και 16% μέσα στα επόμενα χρόνια.Οι οργανισμοί είναι πρόθυμοι να δώσουν χρήματα για την προσέλκυση ταλέντου και την ανάπτυξη επαγγελματιών, ωστόσο κανέναν χρηματικό αντίτιμο δεν μπορεί να δημιουργήσει δεξιότητες που δεν υπάρχουν -όχι βραχυπρόθεσμα τουλάχιστον. Τα στοιχεία καταδεικνύουν ενδιαφέρουσες αντιθέσεις. Η έρευνα του ISACA αναδεικνύει το on-the-job training, την εκπαίδευση από vendors λύσεων information security και την αυτο-διδασκαλία ως τις πιο δημοφιλείς μεθόδους εκπαίδευσης επαγγελματιών Ασφάλειας Πληροφοριών.

Εντούτοις, οι μέθοδοι αυτές, από μόνες τους, δεν αρκούν για να λύσουν το πρόβλημα: είναι χαρακτηριστικό ότι το 87% των οργανισμών δεν έχουν εμπιστοσύνη στην ικανότητα των ομάδων cybersecurity να αποκρούσουν μια ψηφιακή επίθεση. Αξίζει επίσης να αναφερθεί ότι, σε αντίθεση με άλλους επαγγελματικούς τομείς, η εμπειρία δεν αποτελεί εχέγγυο αποτελεσματικότητας στο cybersecurity: στο 92% των οργανισμών, οι επαγγελματίες Ασφάλειας Πληροφοριών έχουν περισσότερα από 3 χρόνια εμπειρίας και στο 73% περισσοτερα από πέντε.

Τέσσερις στους δέκα συμμετέχοντες στην έρευνα του CSIS θεωρούν το πτυχίο πανεπιστημίου ως απαραίτητο προσόν για την πρόσληψη στο τμήμα Ασφάλειας Πληροφοριών. Εντούτοις, μόλις το 7% των ακαδημαϊκών ιδρυμάτων στις χώρες που διεξήχθη η έρευνα (ΗΠΑ, Μ. Βρετανία, Γαλλία, Γερμανία, Ισραήλ, Ιαπωνία, Μεξικό και Αυστραλία) προσφέρει κάποιον τίτλο σπουδών σχετικό με την ασφάλεια πληροφοριών και μόλις το ένα τρίτο των πανεπιστημίων διαθέτει κάποιο εξειδικευμένο μεταπτυχιακό πρόγραμμα σπουδών. Ως εκ τούτου, μόλις το 23% των συμμετεχόντων στην έρευνα εκτιμά ότι το πανεπιστήμιο μπορεί να προετοιμάσει κατάλλλα ένα άτομο για σταδιοδρομία στην Ασφάλεια Πληροφοριών. Με λίγα λογια, οι περισσότεροι οργανισμοί διαθέτουν έμπειρα στελέχη με πτυχίο στο τμήμα Ασφάλειας Πληροφοριών, όμως και πάλι δεν μπορούν να εγγυηθούν ότι οι γνώσεις τους επαρκούν για τη θωράκιση του οργανισμού ενάντια στις ψηφιακές απειλές.

Hackers, robots και… περισσότερο training
Δεδομένου ότι η ψηφιακή ασφάλεια των οργανισμών επηρεάζει πλέον άμεσα την ικανότητά τους να λειτουργούν, να καινοτομούν και να αναπτύσσουν προϊόντα για τους πελάτες τους, η εκπαίδευση των στελεχών Ασφάλειας Πληροφοριών αποτελεί κρίσιμη επένδυση. Για τη συμπλήρωση του κενού που υπάρχει ανάμεσα στην πανεπιστημιακή εκπαίδευση και το on the job training, συνίσταται η χρηματοδότηση παρακολούθησης προγραμμάτων επαγγελματικής εκπαίδευσης για την απόκτηση σχετικών με το αντικείμενο πιστοποιήσεων.

Η αυτοματοποίηση των διαδικασιών και η χρήση της τεχνητής νοημοσύνης αποτελεί μια ακόμα λύση για την ενίσχυση των δεξιοτήτων και γνώσεων του τμήματος Ασφάλειας Πληροφοριών. Αξίζει να αναφερθεί ότι σύμφωνα με το IBM Institute for Business Value, περίπου το 60% των επαγγελματιών που δραστηριοποιούνται στον τομέα της ΙΤ ασφάλειας θεωρούν πως οι αναδυόμενες τεχνολογίες cognitive θα αποτελέσουν κρίσιμο μέρος για την συνολικότερη αλλαγή της εικόνας και των εν γένει δεδομένων που ισχύουν στον πόλεμο εναντίον του κυβερνοεγκλήματος -υπενθυμίζεται ότι η ψηφιακή ασφάλεια αποτελεί πεδιο εφαρμογής του IBM Watson.

Τέλος, μια λύση που προβάλλεται ολοένα και περισσότερο αφορά στον… προσυλητισμό black hat hackers στο ethical hacking και στον επιχειρηματικό κόσμο. Είναι χαρακτηστικό ότι ακόμα και μη τεχνολογικές εταιρείες, όπως είναι η Nike, διοργανώνουν event γνωριμίας με hackers. Η ένταξη ταλαντούχων hackers σε επιχειρηματικά περιβάλλοντα ενέχει σημαντικές προκλήσεις, ενώ κάποιοι αναλυτές επισημαίνουν ότι, εκτός Ε.Ε. Και ΗΠΑ, σε χώρες όπου σπάνια καταδικάζονται hackers, δεν υπάρχουν κίνητρα ένταξης στον κόσμο των επιχειρήσεων.

Η ψηφιακή ατζέντα έχει γίνει μέρος της στρατηγικής των σύγχρονων οργανισμών (μέσα από τη χρήση υποδομών και λύσεων mobile, cloud, analytics και social). Σε αυτό το πλαίσιο, είναι απαραίτητο για τις επιχειρήσεις να διαμορφώσουν προδραστική και ευθυγραμμισμένη με τις λειτουργίες IT security στρατηγική. Η ανάδυση τάσεων, όπως είναι το Internet of Things, οι οποίες αυξάνουν εκθετικά τα endpoints του επιχειρησιακού δικτύου, δημιουργούν μεγαλύτερη πολυπλοκότητα για την ψηφιακή ασφάλεια του οργανισμού. Σε αυτό το περιβάλλον, είναι απαραίτητο για τους οργανισμούς να επενδύσουν στο IT Security, προκειμένου να διασφαλίσουν τη βιωσιμότητα των ψηφιακών στρατηγικών τους. Το θέμα δεν αφορά πλέον μόνο τους CISOs ή το IT, καθώς το management, αλλά και τα Διοικητικά Συμβούλια των οργανισμών πρέπει να συνδιαμορφώσουν με το security και την Πληροφορική στρατηγικές που θα θωρακίσουν τον οργανισμό απέναντι στις νέες ψηφιακές απειλές.

Η ψηφιακή ασφάλεια ως μείζον στρατηγικό θέμα
Το 2014, το αμερικάνικο National Association of Corporate Directors συνιστούσε στα μέλη των Διοικητικών Συμβουλίων να εξετάζουν τους ψηφιακούς κινδύνους και να προσδιορίζουν τον πιθανό νομικό τους αντίκτυπο. Το 2015, το 29% των CEOs ανέφερε την ψηφιακή ασφάλεια ως το ζήτημα με τον μεγαλύτερο αντίκτυπο στην επιχειρησιακή λειτουργία, ενώ το 20% αυτών δήλωνε ότι οι ψηφιακές απειλές αποτελούν τον σημαντικότερο κίνδυνο για τον οργανισμό τους (2015 KPMG CEO Outlook). Τα ποσοστά δεν είναι διόλου ευκαταφρόνητα και, ιδιαίτερα σε τόσο υψηλό επίπεδο management, αποδεικνύουν τη στρατηγική σημασία της ψηφιακής ασφάλειας.

Η εξέλιξη αυτή φαίνεται να έχει διάρκεια, ειδικότερα για τα Διοικητικά Συμβούλια: σύμφωνα με το The Global State of Information Security® Survey 2016 της PwC, τα Διοικητικά Συμβούλια συμμετέχουν ενεργά στη διαμόρφωση και υλοποίηση της security στρατηγικής του οργανισμού στο 54% των οργανισμών. Τα ευρήματα της PwC επιβεβαιώνει και η έρευνα του ISACA State of Cybersecurity: Implications for 2016, σύμφωνα με την οποία το 82% των μελών ΔΣ δηλώνει ιδιαίτερα ανήσυχο ή ανήσυχο για την ψηφιακή ασφάλεια. Η εμπλοκή των μελών του Διοικητικού Συμβουλίου έχει θετική επίδραση στην αναγνώριση των σημαντικότερων ψηφιακών κινδύνων, επιτρέπει την ευθυγράμμιση της information security στρατηγικής με το risk management και την εταιρική διακυβέρνηση του οργανισμού, ενώ συμβάλλει στην αύξηση της επένδυσης για την ψηφιακή ασφάλεια –σύμφωνα με την PwC, η ένταξη του cyber security στην ατζέντα του Διοικητικού Συμβουλίου συμπίπτει χρονικά με την κατά 24% αύξηση των κονδυλίων information security.

Προς τη σωστή κατεύθυνση οι στρατηγικές ασφάλειας πληροφοριών
Σε επίπεδο υλοποίησης της στρατηγικής και εξέλιξης της σε εφαρμόσιμες πολιτικές, η έρευνα της PwC επισημαίνει ότι το 58% των οργανισμών διαθέτουν επιχειρησιακή στρατηγική ασφάλειας πληροφοριών, το 53% αυτών έχει σχεδιάσει πρόγραμμα εκπαίδευσης του προσωπικού σε θέματα ψηφιακής ασφάλειας, το 54% έχει διορισμένο Chief Information Security Officer, το 52% έχει εδραιώσει πρότυπα ασφαλείας για τα τρίτα μέρη ενώ το 49% πραγματοποιεί συστηματικά threat assessments. Σε αυτήν την ομολογουμένως θετική εικόνα, σαφώς και υπάρχουν περιθώρια βελτίωσης. Σύμφωνα με το Global Information Security Survey 2015 της EY, το 47% των οργανισμών δεν έχει ιδρύσει Security Operations Center, το 37% δεν διαθέτει επίσημη πολιτική προστασίας δεδομένων (ή εφαρμόζει ad hoc πολιτικές), το 18% δεν εφαρμόζει κάποιο πρόγραμμα Identity & Access Management ενώ μόνο το 40% αυτών πραγματοποιεί συστηματική καταγραφή του ψηφιακού οικοσυστήματος (third-party providers, network connections, data κλπ.).

Όταν το υπερβολικό ενδιαφέρον (μπορεί και να) βλάπτει
Η εμπλοκή του ανώτατου management και των μελών ΔΣ στην information security στρατηγική των οργανισμών δεν αποτελεί (και δεν πρέπει να αποτελεί) εχέγγυο για την προστασία τους απέναντι στις ψηφιακές απειλές –άλλωστε δεν μπορεί να υπάρξει πλέον απόλυτη προστασία από τους ψηφιακούς κινδύνους. Μια διάσταση της στρατηγικής αναβάθμισης της ψηφιακής ασφάλειας που χρήζει προσοχής αφορά και στη δημιουργία εφησυχασμού σχετικά με την ασφάλεια του οργανισμού. Αυτό διότι πρόσφατες έρευνες καταδεικνύουν κενά ανάμεσα στις στρατηγικές προθέσεις των οργανισμών σχετικά με την ασφάλεια πληροφοριών και στις επιμέρους παραμέτρους εφαρμογής.Σύμφωνα με την έρευνα The State of Cybersecurity and Digital Trust 2016, η οποία διεξήχθη από την HfS Research, για λογαριασμό της Accenture, το 31% αναφέρει τα ελλιπή κονδύλια για εκπαίδευση ή νέες προσλήψεις ως το σημαντικότερο ανασταλτικό παράγοντα για την αντιμετώπιση των επιθέσεων. Επίσης, μόνο το 37% των επιχειρήσεων διενεργεί αξιολογήσεις για digital ethics και ετοιμότητα απέναντι σε επιθέσεις στο οικοσύστημα των συνεργατών του (εύρημα που συνάδει με αυτό της EY για καταγραφή του ψηφιακού οικοσυστήματος μόνο από το 40% των εταιρειών), ενώ το 70% αναφέρει ελλιπή ή και μηδενική χρηματοδότηση για τεχνολογία ψηφιακής ασφάλειας και αξιοποίηση ταλέντου στο εν λόγω πεδίο, άρα και για εκπαίδευση.

Τέλος, το 36% των συμμετεχόντων στην έρευνα εκτιμά ότι τα ανώτερα στελέχη θεωρούν την ψηφιακή ασφάλεια περιττό κόστος. Η Accenture προχωρά ένα βήμα παραπέρα και αναδεικνύει, στο πλαίσιο της High Performance Security Research 2016 ότι, μολονότι μία στις τρεις απόπειρες κλοπής εταιρικών δεδομένων πετυχαίνει τον στόχο της, οι οργανισμοί αισθάνονται ασφαλείς (confident) για τη security στρατηγική τους, και επισημαίνει την αναντιστοιχία ανάμεσα στις επίσημες πολιτικές και τα πραγματικά γεγονότα. Αξίζει πάντως να αναφερθεί ότι ο εφησυχασμός που αφορά στην επιτυχημένη αντιμετώπιση των ψηφιακών επιθέσεων είναι περισσότερο «αμερικάνικο» φαινόμενο: σύμφωνα με το 2015 KPMG CEO Outlook, λιγότεροι από ένας στους τρεις οργανισμούς στην Ευρώπη δηλώνει «έτοιμος να αντιμετωπίσει ψηφιακές επιθέσεις». Οι αναλυτές της KPMG επισημαίνουν ότι οι επιχειρήσεις στη Γηραιά Ήπειρο βρίσκονται στην αρχή ή στη μέση του «ταξιδιού» τους προς την ψηφιακή ασφάλεια και σίγουρα αισθάνονται λιγότερο ασφαλείς στο να εκθειάσουν τη cyber security ετοιμότητά τους. Ενδιαφέρον παρουσιάζει και το εύρημα του ISACA ότι μόλις το 8% των security τμημάτων αναφέρεται στο Διοικητικό Συμβούλιο -το 14% αυτών αναφέρεται στον CEO ενώ το 63% αναφέρεται στον CIO. Η γραμμή αναφοράς έχει ιδιαίτερη σημασία, καθώς η απευθείας λογοδοσία στο Διοικητικό Συμβούλιο αποτελεί εχέγγυο για την ανεξαρτησία τους τμήματος.

Οι οργανισμοί σίγουρα αντιλαμβάνονται την επίδραση της ψηφιακής ασφάλειας στις λειτουργίες τους, ωστόσο, και με δεδομένο ότι οι hackers βρίσκονται πάντα ένα βήμα μπροστά, ενδεχομένως αποτελεί πρόκληση για το ανώτατο management να προσδιορίσει τα κατάλληλα επιμέρους κομμάτια μιας information security στρατηγικής, αλλά και να αντιληφθεί την πολυπλοκότητα των ψηφιακών κινδύνων στην πλήρη τους διάσταση, η οποία δεν αφήνει κανένα περιθώριο εφησυχασμού.