Όροι όπως «κυβερνοεπιθέσεις» και «κυβερνοπόλεμος», όχι πολλά χρόνια πριν, θεωρούνταν πως ανήκαν περισσότερο από τη σφαίρα της Επιστημονικής Φαντασίας ή των χολιγουντιανών ταινιών, παρά στην πραγματικότητα. Οι «χάκερ» θεωρούνταν σκιώδεις, παντοδύναμες φυσιογνωμίες- λίγοι, «γοητευτικοί» και «επίλεκτοι», που στόχευαν τους πλέον «σκληρούς» και προστατευμένους στόχους του κυβερνοχώρου, οι οποίοι, ωστόσο, τις περισσότερες φορές δεν είχαν σχέση τόσο με τη ζωή των καθημερινών ανθρώπων, όσο με τους μυστηριώδεις, επικίνδυνους «κόσμους» της διεθνούς κατασκοπείας και του εγκλήματος «υψηλών ταχυτήτων».
Ένας κόσμος γεμάτος (κυβερνο)απειλές
Εν έτει 2017, ωστόσο, το κυβερνοέγκλημα και οι κυβερνοεπιθέσεις έχουν ξεφύγει από τα όρια των συναρπαστικών εικόνων «Ηollywood hacking» και έχουν μπει κανονικά στην καθημερινή ζωή. Αναφορές για «χακαρίσματα» και κυβερνοαπάτες (πολύ συχνά κολοσσιαίων διαστάσεων, με αποκαλύψεις για παραβιάσεις εκατομμυρίων λογαριασμών σε εξαιρετικά δημοφιλείς υπηρεσίες) να βρίσκονται σε ημερήσια διάταξη, ενώ στη σημερινή, ψηφιοποιημένη μας καθημερινότητα, μια κυβερνοεπίθεση ή ένα τεχνικό πρόβλημα που σημειώθηκε για Α ή Β λόγους σε κάποια «φάρμα servers» στην άλλη πλευρά του Ατλαντικού μπορεί να προκαλέσει σημαντικά προβλήματα σε έναν χρήστη που κάθεται σε ένα διαμέρισμα στο Παγκράτι και απλώς χρησιμοποιεί λογαριασμούς σε δημοφιλείς διαδικτυακές υπηρεσίες καθημερινής χρήσης. Ο κίνδυνος διαρροών προσωπικών δεδομένων (από στοιχεία τραπεζικών λογαριασμών μέχρι προσωπικές φωτογραφίες διασήμων ή ασήμων κ.α.) είναι πανταχού παρών- ειδικά αν κάποιος/α είναι απρόσεκτος/η όσον αφορά στο τι ανεβάζει στο Ίντερνετ και τι στέλνει σε ποιους. Επίσης, σε γεωπολιτικό/ στρατηγικό επίπεδο, το «cyber» θεωρείται δικαίως ένα νέο θέατρο επιχειρήσεων, όπως ο ουρανός, η θάλασσα, το έδαφος και το διάστημα, αντίστοιχης σημασίας: Η διαδικτυακή προπαγάνδα και οι ψηφιακές επιθέσεις εναντίον μέσων επικοινωνίας και υπηρεσιών του αντιπάλου αποτελούν βασικό τμήμα του «υβριδικού πολέμου»- όρος που έγινε ευρέως γνωστός από την κρίση στην Ουκρανία- ενώ η φερόμενη εμπλοκή Ρώσων χάκερ στις αμερικανικές προεδρικές εκλογές και οι κινεζικές κυβερνοεπιθέσεις εναντίον των ΗΠΑ αποτελούν λόγους επικίνδυνων τριβών μεταξύ των ισχυρότερων χωρών του πλανήτη- ενώ από το «ψηφιδωτό» αυτό δεν λείπει και ο ισλαμιστικός/ τζιχαντιστικός παράγοντας, καθώς, πέρα από τις διαδικτυακές δραστηριότητες στρατολόγησης νέων μελών, εξτρεμιστικές οργανώσεις όπως το ISIS προβαίνουν σε εκτενείς επιχειρήσεις προπαγάνδας, συχνά συνοδευόμενες από κυβερνοεπιθέσεις εναντίον των θεωρούμενων αντιπάλων τους. Επίσης, πέρα από σκοπούς προπαγάνδας και «αθόρυβων» δραστηριοτήτων (υποκλοπών κ.α.) , που παραμένουν περιορισμένες στα όρια του κυβερνοχώρου, δεν απουσιάζουν περιπτώσεις όπου οι επιπτώσεις έφτασαν στον πραγματικό κόσμο: Χαρακτηριστικό παράδειγμα είναι η περίπτωση του σαμποτάζ στις πυρηνικές εγκαταστάσεις στο Νατάνζ του Ιράν το 2008-2010 μέσω του διαβόητου πλέον worm «Stuxnet» (θεωρείται πως προήλθε από τις αμερικανικές και ισραηλινές μυστικές υπηρεσίες), που αποτέλεσε σημαντικό πλήγμα για το ιρανικό πυρηνικό πρόγραμμα, οι αναφορές περί παραβίασης των συστημάτων ελέγχου ενός φράγματος στη Νέα Υόρκη από Ιρανούς χάκερ το 2013, αλλά και τα περί στοχοποίησης μονάδων του ουκρανικού πυροβολικού από Ρώσους χάκερ το 2014-2016, μέσω κακόβουλου λογισμικού για Android, με αποτέλεσμα υψηλές απώλειες στις συγκεκριμένες μονάδες.
Μέσα σε όλο αυτό το δαιδαλώδες περιβάλλον, με τις ψηφιακές απειλές και τους άγνωστους (ή λιγότερο ή περισσότερο γνωστούς) εχθρούς, βρίσκεται και η Ελλάδα. Με την οικονομική κρίση να συνεχίζεται και τον γεωπολιτικό αναβρασμό στην ευρύτερη γεωγραφική γειτονιά μας (αλλά και μεγάλο κομμάτι του κόσμου γενικότερα), ο κυβερνοχώρος και τα τεκταινόμενα σε αυτόν αποτελούν έναν επιπλέον τομέα ενδιαφέροντος και προβληματισμού, ειδικά αν αναλογιστεί κανείς την έντονη δραστηριότητας της γείτονος, η οποία εκφράστηκε και εκφράζεται έντονα τελευταία στο πλαίσιο των εξελίξεων μετά το αποτυχημένο πραξικόπημα και την αντιπαράθεση γύρω από το δημοψήφισμα για την αύξηση των εξουσιών του Τούρκου προέδρου, Ρετζέπ Ταγίπ Ερντογάν. Επίσης, δεν πρέπει να παραβλέπεται πως κατά καιρούς στόχος χάκερ έχει γίνει το ελληνικό τραπεζικό σύστημα και η ΤτΕ, ή ότι το φερόμενο «Plan B» του πρώην υπουργού Οικονομικών, Γιάνη Βαρουφάκη είχε έντονο «άρωμα» χάκερ- καθώς και το ότι ένα από τα μεγαλύτερα και πιο «σκιώδη» σκάνδαλα στην Ελλάδα των τελευταίων δεκαετιών ήταν η υπόθεση των παρακολουθήσεων των συνομιλιών κυβερνητικών στελεχών επί της περιόδου των Ολυμπιακών Αγώνων, που ήταν δυνατές μέσω εγκατάστασης malware σε server της Vodafone.
Όπως γίνεται εύκολα αντιληπτό, η χώρα μας δεν μπορεί να αποτελεί εξαίρεση στον κανόνα που «θέλει» τις κυβερνοεπιθέσεις να αποτελούν κίνδυνο για κάθε χώρα στον κόσμο: Η Ελλάδα αποτελεί μέρος ενός παγκοσμιοποιημένου συστήματος, και ως εκ τούτου διαθέτει, περισσότερο ή λιγότερο, σχετικές υποδομές και υπηρεσίες, οπότε εκ των πραγμάτων είναι ευάλωτη και δυνάμει στόχος σε αντίστοιχες απειλές- άρα το ζήτημα της κυβερνοασφάλειας είναι φλέγον και για τη χώρα μας, και όχι «αποκλειστικότητα» των υπερ- ανεπτυγμένων ψηφιακά χωρών της Δύσης.
Ορίζοντας την κυβερνοασφάλεια
Ξεκινώντας από τα βασικά, αξίζει να δούμε το πώς ορίζεται η έννοια της κυβερνοασφάλειας εξαρχής: Σύμφωνα με τον Ιωάννη Κουκούρα, Managing Director της Twelve Sec και προπονητή της Εθνικής Ελλάδας στον Ευρωπαϊκό Διαγωνισμό Κυβερνοασφάλειας για το 2016 (European Cyber Security Challenge 2016 ), όπου η χώρα μας κατέκτησε την πέμπτη θέση, ως κυβερνοασφάλεια ορίζονται τα μέτρα (τεχνικά ή μη) και οι διαδικασίες που εφαρμόζει ένας οργανισμός για να προστατέψει τη Διαθεσιμότητα, Εμπιστευτικότητα και Ακεραιότητα των πληροφοριών που της ανήκουν ή που απλά διαχειρίζεται.
«Φροντίζει, δηλαδή ώστε οι πληροφορίες αυτές να είναι διαθέσιμες (είτε προς απλή κατανάλωση ή προς επεξεργασία) σε αυτούς που πρέπει να είναι διαθέσιμες και μόνο, με τη σιγουριά ότι δεν έχουν καθόλου αλλοιωθεί (κακόβουλα ή κατά λάθος). Κυβερνοαπειλές είναι όλες αυτές οι πράξεις που απειλούν τις πληροφορίες, όπως περιγράφηκε παραπάνω».
Η απειλή προς τις κρίσιμες υποδομές
Ωστόσο, όπως προαναφέρθηκε, πέρα από την «απειλή προς τις πληροφορίες», δηλαδή τα «χακαρίσματα», την υποκλοπή στοιχείων, τις παρακολουθήσεις και τα αμιγώς «ψηφιακά»,υπάρχει το φλέγον ζήτημα της κυβερνοαπειλής προς τις κρίσιμες υποδομές.
Τι ορίζουμε όμως ως κρίσιμες υποδομές;Όπως επισημαίνουν στη HuffPost Greece η Λεοντίνη Καφφετζάκη και ο Αλέξανδρος Καπέλλος, του Τμήματος Πληροφορικής της Ρυθμιστικής Αρχής Ενέργειας (ΡΑΕ) και ο Θεόδωρος Ζερβός, μέλος της Ολομέλειας της ΡΑΕ, η έννοια των κρίσιμων υποδομών σε ευρωπαϊκό και τοπικό επίπεδο (European and National Critical Infrastructure - EPCI, NCI) ορίζεται ως εξής:
«Οι κρίσιμες υποδομές μας περιβάλουν και είναι απαραίτητες για τη διασφάλιση των υπηρεσιών κοινής ωφέλειας και την ομαλή διαβίωση του ανθρώπου στον σύγχρονο «πραγματικό» κόσμο. Παρέχουν τις βασικές υπηρεσίες και τα συστήματα που είναι ζωτικής σημασίας για τη διασφάλιση της εύρυθμης λειτουργίας της οικονομίας μιας χώρας, της κυβέρνησης και ολόκληρης της κοινωνίας. Στην Ελλάδα οι υποδομές ζωτικής σημασίας ορίζονται βάση ΠΔ, ως εκείνες οι υποδομές των οποίων η διακοπή λειτουργίας ή η καταστροφή θα είχε σημαντικό αντίκτυπο στη χώρα, αλλά και σε άλλα κράτη μέλη της Ε.Ε.Οι κύριες κατηγορίες σύμφωνα με πρόσφατη ευρωπαϊκή οδηγία είναι: η ενέργεια (ηλεκτρική ενέργεια, πετρέλαιο, φυσικό αέριο), η υγεία, το πόσιμο νερό, το τραπεζικό & χρηματοοικονομικό σύστημα, οι τηλεπικοινωνίες, οι μεταφορές (οδικές, σιδηροδρομικές, αεροπορικές, εσωτερικές πλωτές – θαλάσσιες), οι λιμένες και οι ψηφιακές υποδομές, δηλαδή cloud computing, search engines, online marketplaces».
Πιο κρίσιμος τομέας, σύμφωνα με τα στελέχη της ΡΑΕ, είναι ο τομέας της ενέργειας, καθώς εάν δεν διασφαλιστεί αυτός, κανένας άλλος από τους παραπάνω τομείς δεν θα μπορεί να υφίσταται. «Σημαντικό είναι επίσης να τονίσουμε ότι ο τομέας της ενέργειας χαρακτηρίζεται από αλληλεξαρτήσεις σε τοπικό και σε ευρωπαϊκό επίπεδο, οι οποίες τον καθιστούν ακόμα πιο ευάλωτο στις κυβερνοεπιθέσεις, ενώ παράλληλα λειτουργεί σε περιβάλλον στο οποίο υπάρχουν ιδιαιτερότητες και τεχνικές πολυπλοκότητες που είναι δύσκολο να αποτυπωθούν σε ένα και μόνο σχέδιο δράσης» συμπληρώνουν σχετικά, σε επικοινωνία με τη HuffPost Greece.
Οι δράστες και οι μέθοδοι
Ποιοι κρύβονται πίσω από αυτές τις επιθέσεις; Όπως σημειώνουν τα στελέχη της ΡΑΕ, οι κυριότερες κατηγορίες δραστών είναι οι εξής:
- Cyber Criminals / Hackers, ακόμα και σε επαγγελματικό επίπεδο
- Online Wizz kids - εκπαιδευμένα νεαρά παιδιά, καθοδηγούμενα από εχθρικές κυβερνήσεις να διαπράττουν ηλεκτρονικά εγκλήματα.
- Τρομοκρατικές οργανώσεις
- Κατάσκοποι με στόχο τις υποκλοπές δεδομένων με ανταγωνιστικά κίνητρα και οικονομικά συμφέροντα.
Οι πιο συχνές μέθοδοι που χρησιμοποιούνται για κακόβουλες ενέργειες είναι:
- Malware / Ransomware/ Remote Access Trojan (RAT) (κακόβουλο λογισμικό που επιτρέπει στον χάκερ την πρόσβαση στον υπολογιστή εξ αποστάσεως ή τον αποκλεισμό του συστήματος μέχρι να δοθούν «λύτρα»)
- Web Based/ Web Application attacks (επιθέσεις μέσω μόλυνσης εφαρμογών που βρίσκονται στον υπολογιστή- στόχο)
- Botnets (δίκτυα μολυσμένων υπολογιστών, τα οποία χρησιμοποιούνται για δραστηριότητες κυβερνοεγκλήματος)
- Denial of Service (DoS) attacks (επιθέσεις με στόχο το «ρίξιμο» ιστοσελίδων μέσω μεγάλου όγκου traffic)
- Phishing Email (αποστολή παραπλανητικών email τα οποία παραπέμπουν τον παραλήπτη σε ιστοσελίδες με κακόβουλο λογισμικό)
- Spam (αποστολή μεγάλων όγκων ανεπιθύμητων email)
- Data fraud – data breaches (παραβιάσεις/ υποκλοπες προσωπικών δεδομένων που βρίσκονται online)
- Fake media news (διαδικτυακή προπαγάνδα μέσω ψεύτικων ειδήσεων)
- Identity theft / loss (online πλαστοπροσωπία)
- Information leakage (διαρροή εμπιστευτικών δεδομένων)
- Insider threats (κακόβουλες ή λανθασμένες ενέργειες που οφείλονται στον ανθρώπινο παράγοντα, ο οποίος μέχρι σήμερα αποτελεί τη μεγαλύτερη απειλή για την ασφάλεια ενός οργανισμού ή ενός συστήματος)
«Επίσης, πολύ μεγάλες απειλές και καταστροφές στις κρίσιμες υποδομές μπορούν να προκύψουν από τυχαία γεγονότα, όπως είναι τα φυσικά αίτια - extreme weather conditions & physical damage – δηλαδή απρόβλεπτες καιρικές συνθήκες, σεισμοί, έκρηξη ηφαιστείων, κλπ. αλλά και μερικές κατηγορίες ζώων όταν στο φυσικό τους περιβάλλον παρεμβαίνουν συστήματα - έργα κρίσιμων υποδομών. Τέλος μείζων θέμα αποτελεί και ο τρόπος αντιμετώπισης των περιστατικών που προέρχονται από υβριδικές απειλές (Hybrid Threats), π.χ. μια κυβερνοεπίθεση που μπορεί να συμβεί κατά την εξέλιξη ενός άλλου φαινομένου - περιστατικού, είτε από φυσικά αίτια είτε από ανθρώπινο λάθος» σημειώνεται σχετικά από τα τρία στελέχη της Ρυθμιστικής Αρχής Ενέργειας
Εν μέσω ενός περιβάλλοντος που βρίθει απειλών, τίθεται προφανώς το ερώτημα ποια είναι η κατάσταση στην Ελλάδα όσον αφορά στην κυβερνοάμυνα απέναντί τους, τόσο σε κρατικό/ κυβερνητικό επίπεδο, όσο και σε επίπεδο ιδιωτικών επιχειρήσεων.
Η αρμόδια αρχή για την αντιμετώπιση/ προστασία από ηλεκτρονικές επιθέσεις και απειλές προς τον δημόσιο φορέα και τις κρίσιμες υποδομές της χώρας είναι η Εθνική Αρχή Αντιμετώπισης Ηλεκτρονικών Επιθέσεων - Εθνικό CERT- υπηρεσία που ασχολείται με την αντιμετώπιση ηλεκτρονικών απειλών κατά της εθνικής ασφάλειας, από κυβερνοεπιθέσεις μέχρι σοβαρές υποκλοπές, με προσωπικό εξειδικευμένο στην Πληροφορική. Το Εθνικό CERT ανήκει στην ΕΥΠ, υπαγόμενο στο υπουργείο Προστασίας του Πολίτη- αξίζει να σημειωθεί πως το εν λόγω ζήτημα είχε συγκεντρώσει πάνω του τα φώτα της δημοσιότητας στα τέλη του 2016, λόγω σχεδίων περί μεταφοράς του στο υπουργείο Ψηφιακής Πολιτικής, που με τη σειρά τους προκάλεσαν επικρίσεις περί συγκέντρωσης υπερεξουσιών στο πρόσωπο του αρμόδιου υπουργού, Νίκου Παππά- με τους υπερμάχους αυτής της κίνησης να υποστηρίζουν πως με τη μεταφορά αυτή το CERT θα μπορούσε να συνεργάζεται καλύτερα με τους συναρμόδιους φορείς. Σε κάθε περίπτωση, το Εθνικό CERT παραμένει στην ΕΥΠ, και υπάρχει συνεργασία με το υπουργείο Ψηφιακής Πολιτικής σε θέματα ασφάλειας ηλεκτρονικών υπολογιστών (το οποίο διατηρεί έναν συντονιστικό ρόλο).
Όσον αφορά στην αποστολή του, όπως αναφέρεται στην ιστοσελίδα της ΕΥΠ, είναι να «μεριμνά για την πρόληψη και τη στατική και ενεργητική αντιμετώπιση ηλεκτρονικών επιθέσεων κατά δικτύων επικοινωνιών, εγκαταστάσεων αποθήκευσης πληροφοριών και συστημάτων πληροφορικής. Επιπλέον η Αρχή είναι υπεύθυνη για τη συλλογή, την επεξεργασία δεδομένων και την ενημέρωση των αρμόδιων φορέων».
Το Εθνικό CERT, όπως σημειώνεται στην ιστοσελίδα της ΕΥΠ, «διαθέτει το απαραίτητο επιστημονικό προσωπικό και τον απαιτούμενο εξοπλισμό για τον χειρισμό, την ανάπτυξη στρατηγικής και την αντιμετώπιση απειλών-επιθέσεων καθώς και την συλλογή, επεξεργασία και διακίνηση των σχετικών πληροφοριών. Για την αποτελεσματικότερη εκπλήρωση της αποστολής της, συνεργάζεται με άλλα Εθνικά και μη CERT, με τις αντίστοιχες υπηρεσίες άλλων χωρών και διεθνών οργανισμών, καθώς και Υπηρεσίες του Δημόσιου Φορέα για σχετικά θέματα». Μεταξύ των υπηρεσιών που παρέχει περιλαμβάνονται:
- Ενημέρωση του Δημόσιου φορέα για περιστατικά ασφαλείας.
- Συντονισμό των εμπλεκόμενων για την αντιμετώπιση περιστατικών ασφαλείας.
- Ανάλυση και αξιολόγηση περιστατικών ασφαλείας.
- Πρόταση των μέτρων προστασίας που απαιτούνται για εξάλειψη των επιπτώσεων από ένα περιστατικό ασφαλείας.
- Ανάλυση κακόβουλων λογισμικών.
- Διενέργεια ελέγχων ασφαλείας σε πληροφοριακά συστήματα του Δημόσιου τομέα.
- Έκδοση γενικών οδηγιών για την διασφάλιση των πληροφοριακών συστημάτων του Δημόσιου τομέα
Στον συγκεκριμένο τομέα, από πλευράς Ενόπλων Δυνάμεων, υπάρχει η Διεύθυνση Κυβερνοάμυνας (ΔΙΚΥΒ), η οποία είναι υπεύθυνη για την κυβερνοάμυνα των Ελληνικών Ενόπλων Δυνάμεων (αντιμετώπιση των κυβερνοεπιθέσεων σε καθημερινή βάση για την προστασία των πληροφοριακών δικτύων και υποδομών των Ενόπλων Δυνάμεων). Στις αρμοδιότητές της περιλαμβάνονται η διαμόρφωση Στρατιωτικής Στρατηγικής Κυβερνοάμυνας, Δόγματος επιχειρήσεων Κυβερνοχώρου, πολιτικής Κυβερνοάμυνας, τεχνικού σχεδίου δράσεως ανάπτυξης κυβερνοάμυνας στις Ένοπλες Δυνάμεις κ.α. Επίσης, αξίζει να σημειωθεί ότι στα καθήκοντα της ΔΙΚΥΒ περιλαμβάνεται η διοργάνωση της Εθνικής Άσκησης Κυβερνοάμυνας «ΠΑΝΟΠΤΗΣ», που είχε πραγματοποιηθεί επανειλημμένα τα τελευταία χρόνια (διοργανώνεται κάθε χρόνο από το 2010 και περιλαμβάνει προσομοίωση αντιμετώπισης κυβερνοεπιθέσεων που έχουν επίπτωση σε εθνικό επίπεδο, με τη συμμετοχή φορέων και πέρα από τις ένοπλες δυνάμεις και τα σώματα ασφαλείας), καθώς και η συμμετοχή σε διεθνείς ασκήσεις κυβερνοάμυνας.
H τρίτη αρμόδια υπηρεσία στο θέμα της κυβερνοασφάλειας είναι η Δίωξη Ηλεκτρονικού Εγκλήματοςτης ΕΛΑΣ, η οποία λειτουργεί κυρίως με τη δίωξη των πράξεων (εννοώντας ότι δρα μετά την εκδήλωση της πράξης), σε αντίθεση με τους δύο προαναφερθέντες φορείς, που έχουν κυρίως ρόλο θωράκισης της χώρας. Σημειώνεται πως, όπως αναφέρουν στελέχη του υπουργείου Προστασίας του Πολίτη, το συγκεκριμένο υπουργείο θα χαράσσει στρατηγικές και πολιτικές για τέτοιου είδους θέματα.
Ακόμη, αρμοδιότητες επί του τομέα έχει η Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών (ΑΔΑΕ), ενώ στον τομέα της ενέργειας και των υποδομών ιδιαίτερα ευαισθητοποιημένη παρουσιάζεται η ΡΑΕ, προωθώντας και στηρίζοντας δράσεις και συνεργασίες με τους αρμόδιους φορείς της αγοράς της ενέργειας και φροντίζοντας για την ενημέρωση τους και την ανταλλαγή απόψεων και πρακτικών.
Όσον αφορά τώρα στον ιδιωτικό τομέα, όπως αναφέρει ο κ. Κουκούρας, επενδύουν στην κυβερνοασφάλεια κυρίως χρηματοπιστωτικά ιδρύματα και όσες εταιρείες εφάπτονται του χώρου, καθώς και εταιρείες τηλεπικοινωνιών. «Μικρότερες εταιρίες συνήθως δεν μπορούν να επενδύσουν στην κυβερνοασφάλεια, γιατί το κόστος είναι πολύ μεγάλο για αυτές ή/και γιατί δεν υπάρχει κανονιστικό πλαίσιο που να τις υποχρεώνει» προσθέτει.
Ωστόσο, ακόμα και όταν γίνονται επενδύσεις, δεν φαίνεται να πρόκειται για κάποιου είδους συντεταγμένη τάση.
«Στον ιδιωτικό τομέα αν και γίνονται επενδύσεις στην ασφάλεια , αυτές οι επενδύσεις γίνονται σπασμωδικά και χωρίς πολλές φορές κεντρικό σχεδιασμό. Πολλές φορές αυτό είναι ακόμα πιο επικίνδυνο γιατί δίνει την εντύπωση στον οργανισμό ότι είναι προστατευμένος ενώ στην ουσία η ενίσχυση των μέτρων ασφαλείας είναι ανεπαρκής ή υπάρχουν μεγαλύτερα κενά τα οποία έχουν αγνοηθεί. Επίσης τα επίπεδα ενημέρωσης στην χώρα μας για αυτό το θέμα είναι περιορισμένα. Για παράδειγμα, κάθε χρόνο γίνονται πολύ λίγα συνέδρια για την ασφάλεια πληροφορικής σε σχέση με άλλες χώρες» σημειώνει ο Δημήτρης Δόριζας, κριτής του Ευρωπαϊκού Διαγωνισμού Κυβερνοασφάλειας για το 2016 από τη πλευρά της Ελλάδος και Manager της Encode S.A (Managed Security services & Integration).
Στο σημείο αυτό, αξίζει να αναφερθεί και η διάσταση της βιομηχανικής κατασκοπείας/ σαμποτάζ: Σύμφωνα με πρόσφατη διεθνή έρευνα της Kaspersky Lab και της B2B International, με τίτλο «2016 IT Security Risks», περισσότερες από δύο στις πέντε επιχειρήσεις (43%), σε διεθνές επίπεδο οι οποίες είχαν πέσει θύμα επίθεσης DDoS (distributed denial of service) στο σύστημα Πληροφορικής τους, πιστεύουν ότι πίσω τους κρύβονταν οι ανταγωνιστές τους.
Σύμφωνα με την έρευνα οι ανταγωνιστικές επιχειρήσεις θεωρούνται πιο πιθανοί ένοχοι σε σύγκριση με τους ψηφιακούς εγκληματίες, οι οποίοι αναφέρονται ως ύποπτοι από λιγότερα από δύο στα πέντε (38%) θύματα.Ειδικότερα, η βιομηχανική δολιοφθορά θεωρήθηκε ως η πιο πιθανή αιτία πίσω από μια επίθεση DDoS, καθώς βρισκόταν υψηλότερα στην κατάταξη από την πολιτική συνωμοσία και τις προσωπικές βεντέτες εις βάρος μιας επιχείρησης: Μόνο ένα στα πέντε θύματα επίθεσης (20%) κατηγόρησε ξένες κυβερνήσεις και οργανισμούς μυστικών υπηρεσιών, με το ίδιο ποσοστό (21%) να υποψιάζεται δυσαρεστημένους πρώην υπαλλήλους. Κατά την αξιολόγηση της συνολικής εικόνας, περισσότερα από τα μισά (56%) θύματα επιθέσεων DDoS στην Ασία και τον Ειρηνικό κατηγορούν τους ανταγωνιστές τους, και πάνω από το ένα τέταρτο κατηγορεί ξένες κυβερνήσεις (28%). Ωστόσο, μόνο το ένα τρίτο (37%) των επιχειρήσεων στη Δυτική Ευρώπη υποψιάζεται βρώμικο παιχνίδι από τους ανταγωνιστές του, με το ένα πέμπτο (17%) να κατηγορεί ξένες κυβερνήσεις.
Πόσο έχει στοχοποιηθεί η χώρα μας από κυβερνοεπιθέσεις;
Όπως προαναφέρθηκε, η Ελλάδα δεν απουσιάζει από τη λίστα των χωρών που έχουν αποτελέσει/ αποτελούν στόχους κυβερνοεπιθέσεων. Κατά τον κ. Κουκούρα, η πιο αξιομνημόνευτη περίπτωση ήταν οι παρακολουθήσεις του 2004, κατά την περίοδο των Ολυμπιακών Αγώνων. «Το όλο εγχείρημα έγινε με την εγκατάσταση κακόβουλου λογισμικού σε ένα σύστημα (server) της Vodafone, του οποίου η δράση δεν μπορούσε α ανιχνευτεί από τους χρήστες του συστήματος (rootkit). Το παραπάνω περιστατικό συνδυάζει τον ιδιωτικό και τον δημόσιο φορέα και μας δείχνει ότι πολλές φορές μια κυβερνοεπίθεση γίνεται σε πολλά στάδια και με πολλαπλούς στόχους/θύματα ώστε να φτάσει στον απώτερο σκοπό της (βλ. cyber kill chain, watering hole)».
Όσον αφορά στη φύση των κυβερνοαπειλών προς τη χώρα μας, ο κ. Κουκούρας σκιαγραφεί το προφίλ τους ως εξής: «Είναι κυρίως επιθέσεις σε χρηματοπιστωτικά ιδρύματα και στους πελάτες τους και προέρχονται από Κίνα και Ρωσία. Σε επίπεδο κρατικών ινστιτούτων, από όσο γνωρίζω και χωρίς να είναι διασταυρωμένο, είναι επιθέσεις κυρίως από τη Τουρκία, οι οποίες έχουν σκοπό να αποκτούν πρόσβαση στα συστήματα τους και να τη διατηρούν για να τη χρησιμοποιήσουν στο μέλλον. Αντίστοιχα, γίνονται το ίδιο επιθέσεις από την Ελλάδα προς τη Τουρκία».
Πάντως, όπως σημειώνει ο κ. Κουκούρας, συγκριτικά με άλλες περιπτώσεις, η Ελλάδα έχει στοχοποιηθεί σχετικά λίγο. «Κατά την άποψη μου, αυτό οφείλεται στη μικρή οικονομία μας, στο γεγονός ότι ακόμα δεν έχει ψηφιοποιηθεί τόσο πολύ η ζωή μας (συνεπώς μικρότερο πεδίο δράσης) και στο γεγονός ότι η γλώσσα μας δεν είναι διαδεδομένη: Οι επιτιθέμενοι προτιμούν να κάνουν επιθέσεις/ηλεκτρονικές απάτες στα αγγλικά, ισπανικά, γαλλικά κτλ)».
Μιλώντας για το συγκεκριμένο θέμα, στελέχη του υπουργείου Προστασίας του Πολίτη επισημαίνουν πως δεν έχουν σημειωθεί αξιοσημείωτα περιστατικά στην Ελλάδα, καθώς δεν έχει σημειωθεί κάποια σοβαρή κυβερνοεπίθεση, αλλά μόνο επιθέσεις σε ιστοσελίδες μεγάλων τραπεζών και υπουργείων- και συγκεκριμένα όχι στα συστήματά τους, αλλά μόνο στις ιστοσελίδες τους. Ειδικότερα, επρόκειτο για επιθέσεις με τη μέθοδο DDoS (distributed denial of service): Πρόκειται για μια μέθοδο επιθέσεων μέσω διαφόρων προγραμμάτων, με στόχο να προκληθεί η «κατάρρευση» μιας διαδικτυακής υπηρεσίας ή ενός εξυπηρετητή (server). Μια τέτοια κατάρρευση σημαίνει πως ο στόχος αδυνατεί να εξυπηρετήσει τις απαιτήσεις ενός χρήστη. Σε μία DDoS επίθεση, ο υπολογιστής (attacker) αποστέλλει μεγάλο πλήθος δεδομένων (πακέτων) στο επιτιθέμενο δίκτυο (server ή website) με αποτέλεσμα να το υπερφορτώσει ή να το αναγκάσει να επανεκκινήσει την λειτουργία του, με αποτέλεσνα την πιθανή απώλεια δεδομένων).
Όπως επισημαίνουν τα εν λόγω στελέχη του υπουργείου, όταν οι χάκερ χτυπούν τη σελίδα μίας τράπεζας, προσπαθούν να δημιουργήσουν δυσπιστία. «Δεν μπορούν όμως να χτυπήσουν τα συστήματά τους. Άλλοτε στόχος είναι ο εντυπωσιασμός και άλλοτε μπορεί να ζητάνε λύτρα για να σε αφήσουν ήσυχο», αναφέρουν σχετικά, τονίζοντας παράλληλα πως η Ελλάδα δεν έχει απειληθεί από κυβερνοτρομοκράτες, ούτε έχει παρατηρηθεί κάποια αξιοσημείωτη/ συντεταγμένη δραστηριότητα σε επίπεδο προπαγάνδας μέσω κυβερνοχώρου με στόχο την Ελλάδα. Γενικότερα, όπως αναφέρουν, δεν υπάρχουν ενδείξεις πως η χώρα μας διατρέχει κάποιον σημαντικό κίνδυνο από κυβερνοαπειλές.
Όσον αφορά τώρα στην προέλευση των όποιων κυβερνοαπειλών, σημειώνουν τα εξής: «Ξέρουμε ότι γενικότερα στον κόσμο οι απειλές προέρχονται από χώρες όπως η Ρωσία, η Ουκρανία και κάποιες χώρες της λατινικής Αμερικής, ενώ πρόσφατα υπέπεσε στην αντίληψη ξένων Αρχών κινητικότητα από τη Βόρεια Κορέα».
Σε παρόμοιο πλαίσιο κινείται και η εκτίμηση από πλευράς των κ.κ Καφφετζάκη, Καπέλλου, και Ζερβού της ΡΑΕ: Όπως επισημαίνουν, η χώρα μας σε σχέση με τα υπόλοιπα κράτη, έχει αντιμετωπίσει μέχρι σήμερα, μικρότερης εμβέλειας περιστατικά κυβερνοεπιθέσεων, με βάση την παγκόσμια κλίμακα κρισιμότητας - Criticality Scale (Cat1-Cat5), με τα πιο σημαντικά από αυτά να αφορούν τον τραπεζικό τομέα, τις τηλεπικοινωνίες και οτιδήποτε συνδέεται με το Ίντερνετ “Internet of Things”.
«Πιο συγκεκριμένα, η παραβίαση προσωπικών δεδομένων, η διαρροή απόρρητων πληροφοριών και διαβαθμισμένων εγγράφων, οι τηλεφωνικές υποκλοπές, η παράνομη πρόσβαση σε σημαντικές και αξιοποιήσιμες πληροφορίες σχετικά με τα προσωπικά δεδομένα πολιτών είναι μερικά από τα περιστατικά που αντιμετωπίζει συχνά η χώρα μας. Κύριοι στόχοι των επιθέσεων είναι κυρίως οι κυβερνητικοί φορείς, οι τράπεζες ακόμα και οι απλοί πολίτες. Η σκοπιμότητα ποικίλει και σχετίζεται με την εναντίωση σε πολιτικά μέτρα, την απόπειρα υποκλοπής δεδομένων, τον εκβιασμό και άλλες κακόβουλες ενέργειες».
Όσον αφορά στον τομέα της ενέργειας ειδικότερα πάντως, σημειώνεται ότι «τα περιστατικά έχουν να κάνουν με ανταγωνιστικά συμφέροντα, τη λειτουργία των αγορών και πολιτικές σκοπιμότητες». Σημειώνεται πως, συγκεκριμένα στον τομέα της ενέργειας πραγματοποιήθηκε το 2012 επίθεση μέσω Spear Phishing Emails, στην καμπάνια πολυεθνικής εταιρείας πετρελαιοειδών στην Ελλάδα με σκοπό την υποκλοπή από ανταγωνιστές πληροφοριών στις τιμές των καυσίμων και οικονομικών στοιχείων της εταιρείας.
Πόσο όμως έχουν στοχοποιηθεί οι ελληνικές υποδομές; Όπως υπογραμμίζουν τα στελέχη της ΡΑΕ, στη χώρα μας, τα περιστατικά που έχουν προκύψει μέχρι τώρα, ήταν μεμονωμένα, μικρής εμβέλειας και πλήρως αντιμετωπίσιμα από τους αρμόδιους φορείς.
«Ωστόσο, όταν ένα περιστατικό ξεφεύγει από τις ανωτέρω περιπτώσεις και διαφαίνεται ότι μπορεί να έχει μεγάλο αντίκτυπο στην ομαλή λειτουργία ενός η περισσοτέρων τομέων, δεν μπορεί πλέον να αντιμετωπιστεί μεμονωμένα από τον εκάστοτε φορέα και απαιτείται διαφορετικός τρόπος δράσης ο οποίος περιλαμβάνει ειδικά μέτρα ασφάλειας, συνεργασία μεταξύ των εμπλεκόμενων φορέων ή κρατών και κεντρικό συντονισμό» υπογραμμίζουν σχετικά. Αξίζει να σημειωθεί πως στελέχη του υπουργείου Προστασίας του Πολίτη υπογραμμίζουν από πλευράς τους πως διαρκώς πρέπει να γίνονται τεστ για να διαπιστώνουμε το πόσο ευάλωτες είναι οι υποδομές μας, τονίζοντας πως υπάρχει μέριμνα και η γενικότερη εικόνα είναι πως «είμαστε ασφαλείς».
Από την πλευρά της ΡΑΕ πάντως, υπογραμμίζεται πως οι ελληνικές κρίσιμες υποδομές είναι το ίδιο ευάλωτες με τις υπόλοιπες ευρωπαϊκές και παγκόσμιες υποδομές και απειλούνται από τους ίδιους κινδύνους. «Στην χώρα μας, από τα μέσα του 2016, άρχισε ο σχεδιασμός της εθνικής στρατηγικής για την Κυβερνοασφάλεια με σκοπό ένα ολοκληρωμένο εθνικό σχέδιο προστασίας των κρίσιμων υποδομών της χώρας, σε εναρμόνιση του εθνικού νομικού πλαισίου με πρόσφατες ευρωπαϊκές οδηγίες και κανονισμούς, NIS Directive (Network Information Security & Smart Grids) και GDP Regulation(General Data Protection). Επίσης τα υπουργεία ψηφιακής πολιτικής, τηλεπικοινωνίων και ενημέρωσης, υποδομών και μεταφορών και η εθνική υπηρεσία πληροφοριών, συνεργάζονται με τους εθνικούς και ευρωπαϊκούς αρμόδιους φορείς για την διαμόρφωση της εθνικής ψηφιακής στρατηγικής με σκοπό την εναρμόνιση με τις παραπάνω ευρωπαϊκές οδηγίες».
Μεταξύ των αρμοδιοτήτων της ΡΑΕ είναι και η παρακολούθηση της ασφάλειας του ενεργειακού εφοδιασμού της χώρας για την οποία, ειδικά για το φυσικό αέριο, η ΡΑΕ έχει οριστεί ως η Αρμόδια Εθνική Αρχή (Competent Authority), με σκοπό τη διασφάλιση της εφαρμογής των μέτρων που καθορίζονται στον Ευρωπαϊκό Κανονισμό Ασφάλειας Εφοδιασμού του Φυσικού Αερίου, (994/2010 EU Regulation Concerning measures to safeguard security of gas supply).
Πρόσφατα μάλιστα, όπως επισημαίνεται από τα στελέχη της Αρχής, από τη συμμετοχή της ΡΑΕ σε άσκηση ετοιμότητας διαχείρισης αιφνίδιας κρίσης που συνδιοργάνωσε το Εθνικό Κέντρο Μελετών Ασφάλειας με το EU Joint Research Center, προέκυψε πως οι εμπλεκόμενοι φορείς στην αγορά της ενέργειας είναι αρκετά προετοιμασμένοι, τουλάχιστον σε πρώτο επίπεδο, να αντιμετωπίσουν μέσω εφεδρικών συστημάτων ανάκαμψης λειτουργίας, τυχόν απρόβλεπτες διακοπές στα δίκτυα τους, που προκαλούνται είτε από φυσικά αίτια είτε από κακόβουλες ενέργειες- ενώ βάσει του θεσπισμένου εθνικού πλάνου έκτακτης ανάγκης υπάρχει κεντρικός συντονισμός από την ΡΑΕ για την επίλυση των προβλημάτων που ανακύπτουν σε κάθε φάση.
«Ωστόσο, δεν χωράει κανένας εφησυχασμός και θα πρέπει να δοθεί μεγαλύτερη έμφαση στη συνεργασία τόσο του δημόσιου - ιδιωτικού τομέα, όσο και στη διασυνοριακή επικοινωνία των κρατών δεδομένης της αλληλεπίδρασης που υπάρχει στις αγορές και στα συστήματα της ενέργειας, αλλά και του μεγάλου αντίκτυπου που μπορεί να υπάρξει από την διακοπή της παρεχόμενης ενέργειας από την μία χώρα στην άλλη» υπογραμμίζουν τα στελέχη της ΡΑΕ.
Όσον αφορά στην αποτελεσματικότερη προστασία της χώρας μας στον τομέα της κυβερνοασφαλείας, τονίζουν πως σχετική νομοθεσία, κανονισμοί και οδηγίες έχουν ήδη προταθεί και νομοθετηθεί, σε ευρωπαϊκό επίπεδο «και η εφαρμογή τους σε εθνικό επίπεδο θεωρείται πλέον επιτακτική».
Όπως σημειώνουν τα τρία στελέχη της Αρχής, η Ελλάδα πρέπει να αποκτήσει μία Εθνική Στρατηγική σε σχέση με την ασφάλεια των κρίσιμων υποδομών της και τη διασφάλιση ποιοτικής παροχής υπηρεσιών προς τους πολίτες της- και θα πρέπει να τεθούν συγκεκριμένοι στόχοι και ένα σχέδιο δράσης το οποίο θα αποτελείται από τα παρακάτω βήματα:
- Καταγραφή και αξιολόγηση των εθνικών κρίσιμων υποδομών.
- Συνεργασία μεταξύ δημόσιων και ιδιωτικών φορέων.
- Διαρκής αποτίμηση της επικινδυνότητας, της ανθεκτικότητας και της προστασίας των πληροφοριακών συστημάτων που σχετίζονται με τις εθνικές κρίσιμες υποδομές.
- Νομικό - κανονιστικό πλαίσιο σε εθνικό επίπεδο, εναρμονισμένο με τις ευρωπαϊκές οδηγίες για την αντιμετώπιση των περιστατικών και τη διαχείριση αιφνίδιων κρίσεων.
- Αφύπνιση όλων των εμπλεκομένων για συνείδηση της σημαντικότητας της αναγνώρισης των κινδύνων που διατρέχουν οι αγορές, οι εταιρίες τεχνολογίας, οι κυβερνήσεις, οι χρηματοοικονομικοί φορείς αλλά και οι πολίτες.
- Ενίσχυση της συνεργασίας μεταξύ των αρμόδιων φορέων και όλων των εμπλεκομένων σε κάθε τομέα, σε περιφερειακό, ευρωπαϊκό αλλά και διεθνές επίπεδο.
- Ενημέρωση του κοινού αλλά και ενθάρρυνση του απλού πολίτη - εργαζομένου, για να συνεισφέρει ενεργά στην αναφορά, στην πρόβλεψη και στην επίλυση των περιστατικών.
- Ανταλλαγή εμπειριών και βέλτιστων πρακτικών μεταξύ φορέων και κρατών για τη βελτίωση των μέτρων ασφάλειας σχετικά με το CyberSecurity.
- Ανάπτυξη και χρήση εργαλείων αξιολόγησης κινδύνων και διασφάλισης της παροχής των υπηρεσιών.
- Εκπαίδευση στελεχών σε συνεργασία με κέντρα μελετών ασφάλειας και επιστημονικά - ακαδημαϊκά εργαστήρια.