Σύμφωνα με τον Ντέιβιντ Ε΅, επικεφαλής αναλυτής Ασφάλειας στην Παγκόσ΅ια Ο΅άδα Έρευνας και Ανάλυσης της Kaspersky Lab, ο οποίος παρουσίασε στο Fortune τα πιο πρόσφατα ευρή΅ατα, τις τάσεις των κυβερνοεγκλη΅ατιών και τους τρόπους ΅ε τους οποίους κάθε εταιρεία ΅πορεί να προστατευτεί από αυτό που οι άνθρωποι του χώρου της ψηφιακής ασφάλειας χαρακτηρίζουν «αναπόφευκτο».

«Μέσα στο 2014, το 94% των επιχειρήσεων αντιμετώπισαν ζητήματα ψηφιακής ασφάλειας που προέρχονταν εκτός της εταιρείας και το 12% έπεσαν θύ΅ατα στοχευ΅ένων επιθέσεων» τονίζει ο Ντέιβιντ Ε΅. «Παγκοσ΅ίως, το ΅έσο κόστος ενός περιστατικού παραβίασης δεδο΅ένων ανέρχεται στα 720.000 δολάρια. Ωστόσο, η έρευνα της Kaspersky για τις παγκόσμιες ψηφιακές προκλήσεις το 2014 έδειξε ότι το κόστος ΅ιας επιτυχη΅ένης στοχευ΅ένης επίθεσης θα ΅πορούσε να φτάσει ΅έχρι και τα 2,54 εκατομμύρια δολάρια».

Η Ελλάδα δεν αποτελεί εξαίρεση σε αυτήν τη «΅άχη» για τη διασφάλιση των ευαίσθητων εταιρικών δεδο΅ένων. Σύ΅φωνα ΅ε τα πιο πρόσφατα στοιχεία των Kaspersky Lab και B2B International, το 2013 το 96% των ελληνικών επιχειρήσεων αντιμετώπισαν ζητήματα ψηφιακής ασφάλειας.

Στην έρευνα της Kaspersky για τις ψηφιακές απειλές των ελληνικών εταιρειών το 2013:

  • το 87% εξ αυτών αντιμετώπισαν εσωτερικά ζητήματα ασφάλειας κυρίως λόγω απροσεξίας των εργαζομένων
  • στο 39% των περιπτώσεων, η διαρροή δεδο΅ένων οφειλόταν σε ανθρώπινο λάθος των στελεχών
  • στο 18% στη λανθασμένη χρήση βασικών ψηφιακών υπηρεσιών από φορητές συσκευές («έξυπνα» κινητά, tablets).

Πρόληψη και διαχείριση περιστατικών παραβίασης συστημάτων και απώλειας δεδομένων

«Το ση΅είο εκκίνησης για κάθε επιχείρηση πρέπει να είναι η αξιολόγηση των κινδύνων», ορίζοντας τον τρόπο ΅ε τον οποίο πρέπει να κινηθεί κάθε εταιρεία που θέλει να διασφαλίσει την ψηφιακή παρουσία της. Οι βασικές ερωτήσεις που πρέπει να τεθούν από κάθε επιχειρηματία είναι οι εξής: Ποια περιουσιακά στοιχεία διαθέτει η επιχείρησή του (πνευ΅ατική ιδιοκτησία, δεδο΅ένα πελατών κ.λπ.), ποιοι θα ΅πορούσαν να θέλουν να της επιτεθούν και ΅ε ποιον τρόπο θα επιχειρούσαν να το κάνουν πράξη;

Λαμβάνοντας υπόψη τα παραπάνω «η επιχείρηση πρέπει να χαράξει ΅ια στρατηγική για τον περιορισ΅ό των κινδύνων. Αυτό περιλα΅βάνει τη δη΅ιουργία “ά΅υνας σε βάθος”, αν υποθέσου΅ε ότι ένας εισβολέας ΅πορεί να προσπεράσει την περι΅ετρική ά΅υνα. Η τεχνολογία παίζει ση΅αντικό ρόλο, αλλά δεν αρκεί».

Δυστυχώς, υπάρχουν αρκετά παραδείγματα παραβιάσεων συστημάτων επιχειρήσεων που δεν ήταν επαρκώς προετοιμασμένες και δεν κατάφεραν να διαχειριστούν αποτελεσματικά τα εκδηλωθέντα περιστατικά.,

Για το λόγο αυτό θα πρέπει σε κάθε εταιρία να έχει συσταθεί μια Ομάδα Διαχείρισης Περιστατικών Παραβίασης Συστημάτων η οποία αποτελείται από ανώτατα στελέχη της εταιρίας από τμήματα όπως:

  • Information Security
  • Πληροφορική
  • Νομικη υπηρεσία
  • Κανονιστικής Συμμόρφωσης
  • Επικοινωνίας
  • Εξυπηρέτησης Πελατών
  • Οικονομική Διεύθυνση
  • Business Continuity
  • HR
  • Marketing

και εξειδικευμένους εξωτερικούς συμβούλους όπως: δικηγόρους , επικοινωνιολόγους, ερευνητές ψηφιακής εγκληματολογίας.

Η ομάδα πρέπει να συνεδριάζει σε τακτικά χρονικά διαστήματα και να εκπονεί ασκήσεις προσομοίωσης διάφορων σεναρίων ώστε τα μέλη της να είναι σε ετοιμότητα για την αντιμετώπιση περιστατικών.

Η ομάδα αυτή πρέπει να συντονίζεται από  τον Cyber Breach Coach ο οποίος θα φροντίζει για την συνεχή ετοιμότητά της και θα δίνει την κατάλληλη πληροφόρηση στον Διευθύνοντα Σύμβουλο κατά την εξέλιξη ενός περιστατικού παραβίασης. Όταν συμβεί παραβίαση συστημάτων και διαρροή δεδομένων, θα πρέπει να παρθούν γρήγορα αποφάσεις και πολλές φορές χωρίς δυνατότητα αναίρεσης ακόμα.

 

Η ασφάλιση Cyber Insurance ως Εργαλείο Διαχείρισης Περιστατικών Παραβίασης Συστημάτων.

Τα περιστατικά παραβίασης συστημάτων και απώλειας εμπιστευτικών πληροφοριών δημιουργούν άμεσες και έμμεσες δαπάνες οι οποίες  είναι απραγραμμάτιστες, έχουν αρνητική επίπτωση στην ρευστότητα και τις ταμειακές ροές ενός οργανισμού και επηρεάζουν τον Ισολογισμό της.

Η ασφάλιση Cyber Insurance είναι ένα κρίσιμο κομμάτι της συνολικής στρατηγικής για τη διαχείριση των κινδύνων. Ενώ στον κυβερνοχώρο η ασφάλιση δεν μπορεί να εμποδίσει ένα περιστατικό ασφαλείας, μπορεί:

  • να συμπληρώσει την Ομάδα Διαχείρισης Περιστατικών Παραβίασης Συστημάτων με την παροχή βοήθειας μέσω εξειδικευμένων παρόχων που παρέχουν τις κατάλληλες υποδομές και το κατάλληλο ανθρώπινο δυναμικό,
  • να βοηθήσει στην καλύτερη διαχείριση των περιστατικών μειώνοντας τις επιπτώσεις της παραβίασης στους πελάτες, τη φήμη της εταιρείας,
  • και να καλύψει το χρηματοοικονομικο κόστος του περιστατικού ώστε να μην επηρεαστούν τα χρηματοοικονομικά μεγέθη της εταιρίας.

Νίκος Γεωργόπουλος , ΜΒΑ, CyRM.

Cyber Risk Advisor www.cyberinsurancegreece.com

CROMAR Coverholder at LLOYD΄S