Η ψηφιοποίηση, η μετάβαση στο cloud, η αυτοματοποίηση των διαδικασιών και η διασύνδεση των συστημάτων έχουν αλλάξει τον τρόπο λειτουργίας των επιχειρήσεων. Παράλληλα, έχουν διευρύνει την επιφάνεια επίθεσης και τις πιθανές επιπτώσεις ενός περιστατικού κυβερνοασφάλειας. Οι κυβερνοεπιθέσεις δεν αφορούν πλέον μόνο μεγάλους οργανισμούς ή κρίσιμες υποδομές, αλλά αποτελούν έναν πραγματικό επιχειρησιακό κίνδυνο.

Αντώνης Καλοχριστιανάκης
Sales Director
SIMA Security

 

 

 

Σε αυτό το περιβάλλον, η Ευρωπαϊκή Ένωση θέτει με την Οδηγία NIS 2 ένα διευρυμένο πλαίσιο απαιτήσεων για την κυβερνοασφάλεια. Η συμμόρφωση δεν περιορίζεται στην εφαρμογή συγκεκριμένων τεχνικών μέτρων. Αφορά τη συνολική διαχείριση του κινδύνου, τη διακυβέρνηση, την αντιμετώπιση περιστατικών και την επιχειρησιακή συνέχεια. Στην Ελλάδα, η NIS 2 έχει ενσωματωθεί με τον Ν. 5160/2024, ενώ το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας εξειδικεύει τις σχετικές υποχρεώσεις.  Μέσα από εξειδικευμένες υπηρεσίες, όπως το NIS2 Consulting, οι οργανισμοί καλούνται σήμερα να επανασχεδιάσουν την ασφάλειά τους, αναπτύσσοντας ένα ολοκληρωμένο Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS).

Ποιους αφορά η NIS 2: Η διεύρυνση του πεδίου εφαρμογής

Μία από τις σημαντικότερες αλλαγές της NIS 2 είναι η διεύρυνση του πεδίου εφαρμογής της. Στις υποχρεώσεις της εντάσσονται, μεταξύ άλλων, τομείς όπως η ενέργεια, οι μεταφορές, οι τράπεζες και οι χρηματοπιστωτικές υποδομές, η υγεία, το πόσιμο νερό και τα λύματα, οι ψηφιακές υποδομές, οι υπηρεσίες ΤΠΕ, η δημόσια διοίκηση και το διάστημα. Παράλληλα, η οδηγία επεκτείνεται σε τομείς όπως οι ταχυδρομικές υπηρεσίες, η διαχείριση αποβλήτων, τα χημικά, τα τρόφιμα, η κατασκευή συγκεκριμένων προϊόντων και η έρευνα.

Ιδιαίτερη σημασία έχουν οι Managed Service Providers (MSPs) και άλλοι πάροχοι τεχνολογικών υπηρεσιών, καθώς διαχειρίζονται υποδομές και συστήματα τρίτων και, επομένως, μπορούν να επηρεάσουν την ασφάλεια πολλών οργανισμών.

Η κατάταξη μιας οντότητας ως Βασικής (Essential) ή Σημαντικής (Important) δεν εξαρτάται μόνο από τον αριθμό των εργαζομένων ή τον κύκλο εργασιών. Συνδέεται με τον τομέα δραστηριότητας, το μέγεθος και τον τύπο της οντότητας, ενώ η NIS 2 προβλέπει και κατηγορίες που υπάγονται ανεξάρτητα από το μέγεθός τους.

Το ISMS ως βάση της διαχείρισης ασφάλειας

Η συμμόρφωση με τη NIS 2 ξεκινά από τον τρόπο με τον οποίο ένας οργανισμός οργανώνει και διαχειρίζεται την ασφάλειά του. Ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS) μπορεί να αποτελέσει τη βάση για την οργάνωση των σχετικών πολιτικών, διαδικασιών και ελέγχων.

Μέσα από τη διαδικασία του Cyber Security Policy Consulting, ένας οργανισμός διαμορφώνει την Πολιτική Ψηφιακής Ασφάλειας, αποτυπώνοντας τις απαιτήσεις και τη δέσμευση της Ανώτερης Διοίκησης. Στόχος είναι η προστασία της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των πληροφοριών.

Τα απαιτούμενα μέτρα μπορούν να διακριθούν σε τρεις βασικές κατηγορίες:

  1. Οργανωτικά μέτρα: Κατανομή ρόλων και αρμοδιοτήτων, εκπαίδευση εργαζομένων, διαδικασίες διαχείρισης περιστατικών και έλεγχος εξωτερικών συνεργατών.
  2. Τεχνικά μέτρα: Firewalls, ισχυρή αυθεντικοποίηση, έλεγχος πρόσβασης, κρυπτογραφία, καταγραφή συμβάντων (logs), διαχείριση ευπαθειών και αντίγραφα ασφαλείας (backups).
  3. Μέτρα φυσικής ασφάλειας: Προστασία των εγκαταστάσεων και των υποδομών όπου φιλοξενούνται τα πληροφοριακά συστήματα.

 

Risk Assessment: Από την πρόληψη στην πράξη

Η NIS 2 βασίζεται σε μια προσέγγιση διαχείρισης κινδύνου. Ένα Top–down Risk Assessment, σύμφωνα με διεθνή πρότυπα όπως το ISO 27005, επιτρέπει στον οργανισμό να εντοπίσει τους βασικούς κινδύνους και να αξιολογήσει την πιθανότητα και τον αντίκτυπό τους.

Η διαδικασία περιλαμβάνει τη δημιουργία Μητρώου Κινδύνων (Risk Registry) και, όπου απαιτείται, τη διενέργεια Μελέτης Επιχειρησιακού Αντικτύπου (Business Impact Analysis). Στη συνέχεια αξιολογούνται ο πρωταρχικός κίνδυνος (Inherent Risk) και η αποτελεσματικότητα των υφιστάμενων μέτρων (Maturity Assessment), ώστε να προσδιοριστεί ο υπολειπόμενος κίνδυνος (Residual Risk).

Με βάση τα αποτελέσματα καταρτίζεται το Risk Treatment Plan, στο οποίο καθορίζονται τα απαιτούμενα μέτρα, οι risk owners και το χρονοδιάγραμμα υλοποίησης. Τα αποτελέσματα μπορούν να αποτυπωθούν σε αναλυτικές αναφορές για την τεχνική ομάδα, συνοπτικές αναφορές για τη διοίκηση και dashboards για τη συνεχή παρακολούθηση.

Παράλληλα, ιδιαίτερη βαρύτητα δίνεται στην ασφάλεια της εφοδιαστικής αλυσίδας και των άμεσων προμηθευτών.

Υποχρεώσεις αναφοράς και κυρώσεις

Σε περίπτωση σημαντικού περιστατικού, η NIS 2 προβλέπει συγκεκριμένα χρονικά όρια για την ενημέρωση των αρμόδιων αρχών και των CSIRTs:

  • Εντός 24 ωρών: Έγκαιρη προειδοποίηση με τις διαθέσιμες προκαταρκτικές πληροφορίες.
  • Εντός 72 ωρών: Κοινοποίηση περιστατικού με περισσότερα στοιχεία για τη φύση και τις επιπτώσεις του, καθώς και τα μέτρα που έχουν ληφθεί.
  • Εντός 1 μηνός: Τελική έκθεση με τον απολογισμό του περιστατικού και, όπου είναι διαθέσιμη, την ανάλυση της βασικής αιτίας (root cause).

Η NIS 2 προβλέπει επίσης σημαντικές διοικητικές κυρώσεις. Για παραβάσεις συγκεκριμένων υποχρεώσεων, τα κράτη μέλη πρέπει να προβλέπουν για τις Βασικές Οντότητες ανώτατα πρόστιμα τουλάχιστον 10 εκατ. ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο, και για τις Σημαντικές Οντότητες 7 εκατ. ευρώ ή 1,4%, αντίστοιχα. Παράλληλα, προβλέπονται εποπτικά και διορθωτικά μέτρα, ενώ η οδηγία ενισχύει την ευθύνη της διοίκησης για την εποπτεία των μέτρων κυβερνοασφάλειας.

Συμπέρασμα

Η NIS 2 μεταφέρει την κυβερνοασφάλεια από ένα αποκλειστικά τεχνικό ζήτημα σε θέμα εταιρικής διακυβέρνησης και επιχειρησιακής ανθεκτικότητας. Η αποτελεσματική συμμόρφωση δεν αφορά μόνο την εφαρμογή τεχνολογικών λύσεων, αλλά τη δημιουργία ενός πλαισίου μέσα στο οποίο οι κίνδυνοι εντοπίζονται, αξιολογούνται και αντιμετωπίζονται με συγκεκριμένες διαδικασίες. Για έναν οργανισμό, το ζητούμενο δεν είναι μόνο να μπορεί να αποδείξει ότι συμμορφώνεται. Είναι να γνωρίζει ποιοι είναι οι βασικοί κίνδυνοι, πώς θα αντιδράσει σε ένα περιστατικό και πόσο γρήγορα μπορεί να επανέλθει σε λειτουργία.