Η ικανότητα ενός οργανισμού να συνεχίζει να λειτουργεί και να αποκαθιστά γρήγορα τις κρίσιμες επιχειρησιακές υπηρεσίες του μετά από ένα σοβαρό περιστατικό καθίσταται εξίσου σημαντική με τον περιορισμό και την πρόληψη μιας κυβερνοεπίθεσης εξαρχής. Αυτό ήταν ένα από τα βασικά συμπεράσματα μιας κλειστής συζήτησης μεταξύ στελεχών επιχειρήσεων, τεχνολογίας και κυβερνοασφάλειας, την οποία διοργάνωσε η Kyndryl στην Κύπρο.
Τη συζήτηση, με τίτλο «Η ημέρα που άλλαξε η κυβερνοασφάλεια: Ηγεσία στην εποχή του Mythos», συντόνισε ο Μάριος Καπιρής, Managing Director της Kyndryl Cyprus, με τη συμμετοχή του Cónal Hickey, Αντιπροέδρου και Επικεφαλής του τομέα Ασφάλειας και Ανθεκτικότητας για τις Στρατηγικές Αγορές στην Kyndryl, καθώς και ανώτερων στελεχών επιχειρήσεων και οργανισμών από διαφορετικούς τομείς της κυπριακής οικονομίας.
Η συζήτηση επικεντρώθηκε, μεταξύ άλλων, στην επιχειρησιακή ανθεκτικότητα, την προστασία των κρίσιμων υποδομών, την Τεχνητή Νοημοσύνη, τον ανθρώπινο παράγοντα, την αποκατάσταση μετά από κυβερνοεπιθέσεις, καθώς και στις νέες απαιτήσεις που προκύπτουν από κανονιστικά πλαίσια όπως τα DORA και NIS2.
Από την πρόληψη στην αποκατάσταση
Καθώς οι οργανισμοί λειτουργούν σε ένα ολοένα πιο σύνθετο και ταχέως μεταβαλλόμενο περιβάλλον, η ανθεκτικότητα και η αποκατάσταση έχουν καταστεί κρίσιμα στοιχεία της επιχειρησιακής συνέχειας. Κατά τη διάρκεια της συζήτησης, ο Hickey αναφέρθηκε στον τρόπο με τον οποίο η Kyndryl βοηθά τους πελάτες της να προετοιμάζονται για απρόβλεπτες διαταραχές, να ανταποκρίνονται σε αυτές και να αποκαθιστούν τη λειτουργία τους, διασφαλίζοντας ότι οι κρίσιμες επιχειρησιακές υπηρεσίες παραμένουν διαθέσιμες ακόμη και όταν επηρεάζονται οι υποδομές. Τόνισε ότι η ανθεκτικότητα, οι δυνατότητες αποκατάστασης και ο σχεδιασμός της επιχειρησιακής συνέχειας είναι απαραίτητα για τους οργανισμούς που καλούνται να διαχειριστούν επιχειρησιακά συμβάντα, κυβερνοπεριστατικά και άλλες απρόβλεπτες καταστάσεις.
«Μπορούμε να προβλέψουμε, να προστατευτούμε και να εντοπίσουμε μια απειλή, αλλά τελικά το κρίσιμο ερώτημα είναι κατά πόσο μπορούμε να αποκαταστήσουμε τη λειτουργία μας», ανέφερε.
Ιδιαίτερη έμφαση δόθηκε στην ανάγκη των επιχειρήσεων να προσδιορίσουν τις πλέον κρίσιμες λειτουργίες τους και να κατανοήσουν ποια συστήματα, εφαρμογές, δεδομένα και εξωτερικοί συνεργάτες είναι απαραίτητοι για τη διατήρηση της λειτουργίας τους σε περίπτωση απρογραμμάτιστης διακοπής.
Η «ελάχιστα βιώσιμη επιχείρηση»
Στο πλαίσιο αυτό, τέθηκε το ζήτημα της έννοιας της «ελάχιστα βιώσιμης επιχείρησης» (minimum viable business) — δηλαδή του ελάχιστου συνόλου λειτουργιών που ένας οργανισμός πρέπει να είναι σε θέση να διατηρήσει ή να αποκαταστήσει γρήγορα μετά από ένα σοβαρό περιστατικό.
Όπως επισημάνθηκε κατά τη συζήτηση, δεν έχουν όλες οι επιχειρησιακές διαδικασίες τον ίδιο βαθμό κρισιμότητας. Για παράδειγμα, σε μια τράπεζα, η προσωρινή αδυναμία διεκπεραίωσης ενός δανείου για αγορά αυτοκινήτου έχει διαφορετικό αντίκτυπο από την αδυναμία εκτέλεσης πληρωμών SEPA (Ενιαίος Χώρος Πληρωμών σε Ευρώ), η οποία μπορεί να έχει ευρύτερες επιπτώσεις στην οικονομική δραστηριότητα.
Η χαρτογράφηση αυτών των διαδικασιών δεν περιορίζεται στον εντοπισμό των εφαρμογών που χρησιμοποιούνται. Απαιτεί την κατανόηση όλων των τεχνολογικών και αλληλένδετων εξαρτήσεων, από τα δίκτυα και τους διακομιστές έως τις ταυτότητες, τα συστήματα αποθήκευσης και τους τρίτους παρόχους. Οι συμμετέχοντες σημείωσαν επίσης ότι τα σχέδια επιχειρησιακής συνέχειας πρέπει να επανεξετάζονται συστηματικά, καθώς οι οργανισμοί προχωρούν συνεχώς σε αλλαγές συστημάτων, επαφών και συνεργατών.
Ο Hickey ανέφερε ότι οι οργανισμοί με τους οποίους συνεργάζεται επιδιώκουν πλέον να συνδέουν άμεσα τα σχέδια επιχειρησιακής συνέχειας με τις κρίσιμες επιχειρησιακές διαδικασίες τους, ώστε η εικόνα των τεχνολογικών εξαρτήσεων να επικαιροποιείται δυναμικά και να μην παραμένει αποτυπωμένη σε ένα στατικό έγγραφο ή υπολογιστικό φύλλο.
Εκατοντάδες νέες ευπάθειες μέσα σε μία ημέρα
Ιδιαίτερη προσοχή δόθηκε επίσης στην ταχύτητα με την οποία μεταβάλλεται το περιβάλλον της κυβερνοασφάλειας.
Ένα στέλεχος τοπικής επιχείρησης αναφέρθηκε στην εμφάνιση 973 νέων ευπαθειών μέσα σε μία ημέρα, οι οποίες επηρέαζαν περίπου 2.500 στοιχεία ενεργητικού (assets) εντός του οργανισμού. Αυτό οδήγησε στην κατάρτιση σχεδίου δράσης 95 σημείων, καθώς και στην πιο συχνή ενημέρωση της ανώτατης διοίκησης σχετικά με την πρόοδο που σημειώνεται στην αντιμετώπιση των κινδύνων.
Η συζήτηση ανέδειξε την ταχύτητα ως έναν από τους σημαντικότερους παράγοντες στην κυβερνοασφάλεια σήμερα, καθώς οι νέες τεχνολογίες επιτρέπουν τόσο τον ταχύτερο εντοπισμό όσο και την ταχύτερη εκμετάλλευση υφιστάμενων ευπαθειών.
Η διττή διάσταση της Τεχνητής Νοημοσύνης και η εμφάνιση των προηγμένων μοντέλων ΤΝ (Frontier AI)
Όσον αφορά την Τεχνητή Νοημοσύνη, οι συμμετέχοντες συζήτησαν τόσο τους νέους κινδύνους που δημιουργεί όσο και τις ευκαιρίες που προσφέρει για την ενίσχυση της ασφάλειας των οργανισμών. Ο Hickey επισήμανε ότι μία από τις άμεσες ανησυχίες αφορά την ικανότητα της ΤΝ να εντοπίζει και ενδεχομένως να εκμεταλλεύεται υφιστάμενες αδυναμίες πολύ ταχύτερα. Παράλληλα, η υιοθέτηση της ΤΝ ενδέχεται να δημιουργήσει νέους κινδύνους για την ψηφιακή εμπιστοσύνη, σε τομείς όπως η πρόσβαση στα δεδομένα, η συμπεριφορά των αυτόνομων πρακτόρων ΤΝ (AI agents) και η διακυβέρνηση.
Η συζήτηση κάλυψε επίσης ζητήματα που σχετίζονται με τη χρήση της ΤΝ από εργαζομένους χωρίς κεντρική εποπτεία, την πρόσβαση πρακτόρων ΤΝ σε εταιρικά δεδομένα και τη χρήση κώδικα που παράγεται από την ΤΝ από προγραμματιστές. Ιδιαίτερη αναφορά έγινε στην προσέγγιση «πολιτική ως κώδικας» (policy as code), μέσω της οποίας οι πολιτικές και οι κανόνες ασφάλειας μπορούν να ενσωματώνονται τεχνικά στις εφαρμογές και τις διαδικασίες ενός οργανισμού, μειώνοντας την εξάρτηση από τη συμμόρφωση των χρηστών με γραπτές οδηγίες.
Ταυτόχρονα, επισημάνθηκε ότι η ΤΝ μπορεί να χρησιμοποιηθεί για τον εντοπισμό ασυνήθιστων συναλλαγών, την αναθεώρηση κώδικα και την επιτάχυνση του εντοπισμού πιθανών απειλών.
Ο ανθρώπινος παράγοντας παραμένει καθοριστικός
Παρά τις τεχνολογικές εξελίξεις, οι συμμετέχοντες συμφώνησαν σε μεγάλο βαθμό ότι ο ανθρώπινος παράγοντας εξακολουθεί να είναι καθοριστικός. Ως παράδειγμα αναφέρθηκε ένα πραγματικό περιστατικό από το κυπριακό επιχειρηματικό περιβάλλον. Μια εταιρεία έχασε δεκάδες χιλιάδες ευρώ μετά την παραβίαση της ηλεκτρονικής επικοινωνίας της με συνεργάτη στο εξωτερικό. Ο επιτιθέμενος παρακολουθούσε την επικοινωνία και, όταν επρόκειτο να πραγματοποιηθεί πληρωμή προς προμηθευτή, παρενέβη και άλλαξε τα τραπεζικά στοιχεία του λογαριασμού.
Στο πλαίσιο αυτό, τονίστηκε η ανάγκη για συνεχή εκπαίδευση των εργαζομένων, καθώς και για πρακτικές ασκήσεις προσομοίωσης στις οποίες συμμετέχουν διαφορετικά τμήματα και μέλη της διοίκησης.
Η Κύπρος και το ευρωπαϊκό τοπίο
Απαντώντας σε ερώτηση σχετικά με τη θέση της Κύπρου σε σύγκριση με άλλες ευρωπαϊκές αγορές, ο Hickey ανέφερε ότι οι ανησυχίες που διατυπώνονται στην Κύπρο είναι σε μεγάλο βαθμό κοινές με εκείνες που αντιμετωπίζουν οι οργανισμοί σε άλλες χώρες.
Σημείωσε, ωστόσο, ότι η Κύπρος, όπως και άλλες μικρότερες αγορές, αντιμετωπίζει επίσης την πρόκληση της κλίμακας. Οι κυβερνοαπειλές δεν διαφέρουν σημαντικά ανάλογα με το μέγεθος ενός οργανισμού, ενώ οι μικρότερες επιχειρήσεις διαθέτουν συχνά λιγότερους οικονομικούς πόρους, λιγότερο χρόνο και μικρότερο αριθμό εξειδικευμένων στελεχών για την αντιμετώπισή τους.
Η συζήτηση ανέδειξε επίσης την ιδιαίτερη σημασία της αλληλεξάρτησης των κρίσιμων υποδομών στην Κύπρο. Η λειτουργία των τραπεζών και των κέντρων δεδομένων εξαρτάται από την ηλεκτρική ενέργεια και τις τηλεπικοινωνίες, ενώ άλλοι τομείς της οικονομίας εξαρτώνται, με τη σειρά τους, από τις χρηματοοικονομικές και ενεργειακές υποδομές.
DORA, NIS2 και ψηφιακή κυριαρχία
Σύμφωνα με τους συμμετέχοντες, το ευρωπαϊκό κανονιστικό πλαίσιο λειτουργεί ήδη ως καταλύτης για την αύξηση των επενδύσεων στην κυβερνοανθεκτικότητα. Ιδιαίτερη αναφορά έγινε στα DORA και NIS2, καθώς και στις αυξημένες απαιτήσεις που επιβάλλουν στους οργανισμούς και στις διοικητικές τους ομάδες. Ο Hickey ανέφερε επίσης ότι η ψηφιακή κυριαρχία επηρεάζει ολοένα και περισσότερο τις αποφάσεις σχετικά με το πού βρίσκονται τα κρίσιμα δεδομένα και τα υπολογιστικά φορτία, ποιοι έχουν πρόσβαση σε αυτά, ποια νομοθεσία εφαρμόζεται, καθώς και τον τρόπο με τον οποίο οι οργανισμοί διατηρούν την ευχέρεια επιλογών ως προς τη λειτουργία τους και διασφαλίζουν την επιχειρησιακή τους συνέχεια.
Όπως ανέφερε, οι οργανισμοί πρέπει να γνωρίζουν πού φιλοξενούνται οι κρίσιμες εφαρμογές και τα δεδομένα τους, ποιοι έχουν πρόσβαση σε αυτά και πόσο εύκολα μπορούν να μεταφερθούν σε διαφορετική υποδομή ή σε άλλον πάροχο, εφόσον αυτό κριθεί απαραίτητο.
Ο Μάριος Καπιρής σημείωσε ότι οι προκλήσεις που συζητήθηκαν αφορούν οργανισμούς όλων των μεγεθών και όλων των κλάδων, αν και η δυνατότητά τους να τις αντιμετωπίσουν διαφέρει. Ανέφερε ότι η Kyndryl έχει επενδύσει στην ανάπτυξη εξειδικευμένων δεξιοτήτων στους τομείς της ασφάλειας και της ανθεκτικότητας, τόσο στην Κύπρο όσο και διεθνώς, και ήδη συνεργάζεται με μεγάλα τραπεζικά ιδρύματα και οργανισμούς του ιδιωτικού τομέα στην κυπριακή αγορά.
Σύμφωνα με τον Καπιρή, η προσέγγιση περιλαμβάνει τρία βασικά στάδια: τον σχεδιασμό της λύσης, την υλοποίησή της και, κυρίως, τη λειτουργία της.
