Infocom - ΤΕΥΧΟΣ 298

EY Αγγελική

EY Αγγελική Δέλγα SENIOR MANAGER ΣΤΟ ΤΜΉΜΑ ΥΠΗΡΕΣΙΏΝ ΚΥΒΕΡΝΟΑΣΦΆΛΕΙΑΣ ΚΑΙ ΙΔΙΩΤΙΚΌΤΗΤΑΣ, EY ΕΛΛΆΔΟΣ Η Αγγελική Δέλγα, Senior Manager στο Τμήμα Υπηρεσιών Κυβερνοασφάλειας και Ιδιωτικότητας της EY Ελλάδος, μιλάει στο Infocom για το ζήτημα της κυβερνοασφάλειας και τις σημαντικότερες απειλές που έχουν κάνει την εμφάνιση τους, σημειώνοντας πως «παρατηρείται μία γενική αύξηση των κυβερνοεπιθέσεων» και τονίζοντας ότι «οι επενδύσεις των επιχειρήσεων για την ενίσχυση της κυβερνοασφάλειάς τους, έχουν πλέον αυξηθεί». Συνέντευξη στον Χρήστο Κοτσακά I.C.: Πώς διαμορφώνεται, αυτή τη στιγμή, το τοπίο στον τομέα της κυβερνοασφάλειας στην Ελλάδα; Ποιες είναι οι προκλήσεις και οι προοπτικές; Α.Δ.: Το τελευταίο διάστημα, παρατηρείται μία γενική αύξηση των κυβερνοεπιθέσεων, με στόχο επιχειρήσεις οι οποίες υποστηρίζουν κρίσιμες, και μη, υποδομές. Παράλληλα, ιδιωτικοί και δημόσιοι οργανισμοί στην Ελλάδα, ιδιαίτερα στο πλαίσιο του Εθνικού Σχεδίου «Ελλάδα 2.0», προχωρούν με γρήγορους ρυθμούς σε σημαντικές ενέργειες με στόχο τον ψηφιακό μετασχηματισμό τους. Τα ανωτέρω, σε συνδυασμό με την ταχύτατη εμφάνιση και υιοθέτηση νέων τεχνολογιών, οι οποίες ωστόσο βρίσκονται ακόμα σε πρώιμο στάδιο, όπως για παράδειγμα, η τεχνητή νοημοσύνη (AI), η μηχανική μάθηση (machine learning) και το blockchain, εισάγουν σημαντικές προκλήσεις στη διαχείριση της κυβερνοασφάλειας. Σε αυτό το περιβάλλον, οι επιχειρήσεις προχωρούν σε ολοένα και σημαντικότερες επενδύσεις, προκειμένου να προσαρμοστούν αποτελεσματικότερα στις νέες προκλήσεις και απαιτήσεις που απορρέουν από τις σχετικές εξελίξεις, ενώ παράλληλα ενισχύεται σημαντικά το νομοθετικό και κανονιστικό πλαίσιο κυβερνοασφάλειας, με την εισαγωγή σχετικών νομοσχεδίων, κανονισμών και οδηγιών, όπως για παράδειγμα το Digital Operational Resilience Act (DORA) και η Οδηγία NIS 2. Μάλιστα, η κανονιστική συμμόρφωση αναδεικνύεται σε μία δύσκολη «άσκηση» για τις ελληνικές επιχειρήσεις, καθώς, σύμφωνα με πρόσφατη μελέτη της EY Ελλάδος και της Microsoft, πάνω από τις μισές (54%) επιχειρήσεις του δείγματος αναφέρουν ότι ο διαχειριστικός χρόνος και τα έξοδα για τη διασφάλιση της συμμόρφωσης με τους κανονισμούς αποτελούν επιβάρυνση για την επιχείρηση. 26 infocom•10•23

I.C.: Ποιες είναι οι σημαντικότερες κυβερνοαπειλές που αντιμετωπίζουν οι επιχειρήσεις; Ποια είναι τα trends; Έχει αυξηθεί ο αριθμός και ο αντίκτυπός τους; Α.Δ.: Οι κυβερνοαπειλές και οι σχετικές κυβερνοεπιθέσεις, έχουν αυξηθεί σημαντικά τα τελευταία χρόνια, τόσο από άποψη αριθμού, όσο και από άποψη σοβαρότητας του αντικτύπου τους. Οι σημαντικότερες κυβερνοαπειλές, αυτή τη στιγμή, είναι οι επιθέσεις ransomware και οι επιθέσεις phishing, ειδικά ως αποτέλεσμα της πανδημίας και της στροφής πολλών οργανισμών και επιχειρήσεων προς την τηλεργασία. Σύμφωνα με έκθεση της Checkpoint, 1 στις 31 επιχειρήσεις παγκοσμίως, είχαν υποστεί κάποια επίθεση με ransomware κατά τους πρώτους τρεις μήνες του 2023, το οποίο αποτελεί αύξηση 15% σε σχέση με την αντίστοιχη περίοδο του 2022. Παράλληλα, μελέτη της Zscaler δείχνει ότι οι επιθέσεις από phishing campaigns αυξήθηκαν κατά 47,2% το 2022, σε ετήσια βάση. Οι τελευταίες αποτελούν πλέον τους πιο συνηθισμένους κόμβους μέσω των οποίων ο εκάστοτε επιτιθέμενος αποκτά αρχική πρόσβαση σε μία επιχείρηση, εκμεταλλευόμενος την εφοδιαστική αλυσίδα. Ειδικότερα, σύμφωνα με την έκθεση της Anchore για το 2022, τα περιστατικά παραβίασης δεδομένων τα οποία προήλθαν από επιθέσεις σε εφοδιαστικές αλυσίδες επιχειρήσεων, είχαν αντίκτυπο σε περισσότερα από 10 εκατομμύρια άτομα, ενώ 3 στις 5 επιχειρήσεις έχουν πλέον δεχτεί κυβερνοεπιθέσεις στις εφοδιαστικές αλυσίδες τους. Παράλληλα, το έγκλημα στον κυβερνοχώρο έχει πλέον διευκολυνθεί σε μεγάλο βαθμό, με την εμφάνιση της έννοιας «Κυβερνοέγκλημα-ως-Υπηρεσία» (Cybercrime-as-a-Service), καθώς και της έννοιας «Ηλεκτρονικό Ψάρεμα-ως-Υπηρεσία» (Phishing-as-a-Service). Βάσει αυτών, οποιοδήποτε κακόβουλο μέρος είναι διατεθειμένο να προκαλέσει ζημιά σε κάποια επιχείρηση ή οργανισμό, μπορεί να το καταφέρει, πληρώνοντας κυβερνοεγκληματίες σε κρυπτονόμισμα, για να προχωρήσουν στις αντίστοιχες ενέργειες, χωρίς το ίδιο να κατέχει την απαραίτητη τεχνογνωσία. Τέλος, έχει σημειωθεί και αύξηση του αριθμού των κυβερνοεπιθέσεων με κρατική ανάμειξη (state-sponsored attacks), ενάντια σε κρίσιμες, αλλά και μη κρίσιμες, υποδομές άλλων κρατών. I.C.: Πόσο προετοιμασμένες είναι οι ελληνικές επιχειρήσεις, κάθε μεγέθους, γι’ αυτό το νέο ψηφιακό τοπίο; Πραγματοποιούν τις επενδύσεις που απαιτούνται; Πού θα πρέπει να στρέψουν το ενδιαφέρον τους; Α.Δ.: Πράγματι, οι επενδύσεις των επιχειρήσεων για την ενίσχυση της κυβερνοασφάλειάς τους, έχουν πλέον αυξηθεί, ενώ παρατηρείται ότι ακόμα και επιχειρήσεις σε τομείς που παραδοσιακά δεν επένδυαν σε αυτή, προχωρούν πλέον στις απαραίτητες ενέργειες. Πρέπει να τονιστεί, φυσικά, και ο καταλυτικός ρόλος του GDPR σε αυτή τη θετική στροφή προς την κυβερνοασφάλεια. Ενώ μέχρι πρότινος, οι επενδύσεις των επιχειρήσεων πραγματοποιούνταν «after the fact» -δηλαδή, εφόσον είχαν πρώτα δεχτεί κάποια σημαντική κυβερνοεπίθεση, με αποτέλεσμα την παραβίαση δεδομένων- οι νομικές και κανονιστικές απαιτήσεις που απορρέουν από το GDPR, τις έχουν ωθήσει στην υιοθέτηση πιο ισχυρών πρακτικών κυβερνοασφάλειας. Σε αυτό το πλαίσιο, και με στόχο την επίτευξη μεγαλύτερης ωριμότητας στο επίπεδο της κυβερνοασφάλειας, οι επιχειρήσεις πρέπει να υιοθετήσουν μία «risk-based» προσέγγιση, δηλαδή να προσδιορίσουν τις κατάλληλες δράσεις, με βάση τόσο τις λειτουργικές ανάγκες, όσο και τις απαιτήσεις κυβερνοασφάλειας, οι οποίες απορρέουν από τους σχετικούς πραγματικούς κινδύνους. Αυτό, φυσικά, προϋποθέτει ισχυρή δέσμευση από την πλευρά της διοίκησης για βελτίωση των δυνατοτήτων κυβερνοασφάλειας, εξασφαλίζοντας, παράλληλα, τους κατάλληλους πόρους και τη χάραξη μίας εμπεριστατωμένης στρατηγικής κυβερνοασφάλειας. I.C.: Ποιες είναι οι ευκαιρίες καριέρας που προσφέρει ο τομέας της κυβερνοασφάλειας στην Ελλάδα; Ποια είναι η ζήτηση που υπάρχει για ταλέντα και ποια είναι τα skills που απαιτούνται; Α.Δ.: Ο τομέας της κυβερνοασφάλειας στην Ελλάδα, θα λέγαμε, είναι ακόμα ένα «work in progress». Καθώς οι επιχειρήσεις προχωρούν με γρήγορους ρυθμούς στην υλοποίηση νέων απαιτητικών τεχνολογιών, υπάρχει αντίστοιχα μεγάλη ζήτηση για ταλέντα, τα οποία θα μπορέσουν να τις υποστηρίξουν στις προκλήσεις. Βάσει σχετικής έρευνας της Cybersecurity Ventures, αυτή τη infocom•10•23 27