Επιθέσεις στον κυβερνοχώρο: Η µάστιγα της εποχής µας

  • Καθημερινή ενημέρωση

    Κάθε πρωί η επικαιρότητα στο inbox σου.


Όσο πιο γρήγορα ληφθούν τα κατάλληλα µέτρα ασφαλείας, τόσο µεγαλύτερη είναι η πιθανότητα περιορισµού των επιπτώσεων και ζηµιών

Οι κυβερνοεπιθέσεις µπορεί να κυµαίνονται από εισβολή (hacking) σε συστήµατα και µέσα κοινωνικής δικτύωσης, επιθέσεις ηλεκτρονικού «ψαρέµατος» (phishing), κακόβουλο λογισµικό, συµπεριλαµβανοµένου του ransomware, κλοπή ταυτότητας, κοινωνική µηχανική (social engineering attacks) και επιθέσεις άρνησης εξυπηρέτησης (Denial-of-Service (DoS) attack).

Αυτό είναι οδυνηρό τόσο προσωπικά όσο και οικονοµικά, προκαλώντας ανυπολόγιστες ζηµιές και καταστροφές, καθώς η κοινωνία και οι πολίτες γίνονται πιο ευάλωτοι κι ανυπεράσπιστοι.

Αυξανόµενος παγκόσµιος κίνδυνος

Με την πανδηµία COVID-19 να έχει ενσωµατώσει περαιτέρω την αυξανόµενη εξάρτηση στα ψηφιακά συστήµατα, δεν προκαλεί έκπληξη το γεγονός ότι η Έκθεση Παγκόσµιων Κινδύνων 2022 του World Economy Forum συµπεριέλαβε για άλλη µια φορά την απειλή για την ασφάλεια στον κυβερνοχώρο ως έναν από τους αυξανόµενους κινδύνους που αντιµετωπίζει ο κόσµος. Οι αποτυχίες στον κυβερνοχώρο, αναφέρει, έχουν επιδεινωθεί σηµαντικά και απειλούν τη µακροπρόθεσµη ευηµερία.

Ωστόσο η οικοδόµηση ενός καλού συστήµατος κυβερνοάµυνας και η πρόβλεψη απειλών αποτελούν βασικά στοιχεία για την καταπολέµηση του εγκλήµατος σε αυτόν τον τοµέα. Χωρίς αξιόπιστα και εξελιγµένα σχέδια διαχείρισης κινδύνων στον κυβερνοχώρο ούτε η ανθεκτικότητα ούτε η διακυβέρνηση µπορούν να λειτουργήσουν αποτρεπτικά. «Το έγκληµα στον κυβερνοχώρο είναι τόσο εθνικό όσο και διεθνές φαινόµενο που εξαπλώνεται µε µεγάλη ταχύτητα, επηρεάζοντας τις επιχειρήσεις, τις κυβερνήσεις και την κοινωνία στο σύνολό της.

Η κλίµακα και η πολυπλοκότητα αυτής της εγκληµατικής δραστηριότητας έχει εκτεταµένες και επιζήµιες συνέπειες και η κατάσταση είναι θολή, καθώς οι εγκληµατίες του κυβερνοχώρου λειτουργούν χρησιµοποιώντας τεχνική υποδοµή, πέρα από τα εθνικά σύνορα», λέει ο ειδικός στον κυβερνοχώρο καθηγητής ∆ρ Edward Humphreys. Ως αποτέλεσµα, προσθέτει, η διεθνής συνεργασία επιβάλλεται και τα ∆ιεθνή Πρότυπα είναι απαραίτητα για την παγκόσµια προστασία.

Λύσεις και έλεγχοι

Τα ∆ιεθνή Πρότυπα παρέχουν λύσεις επιτρέποντας στους οργανισµούς να θεσπίσουν πλαίσια και συστήµατα για να αξιολογήσουν και να διαχειριστούν την κατάσταση – να προστατεύσουν τις πληροφορίες, να εξασφαλίσουν εφαρµογές, υπηρεσίες και εθνικές υποδοµές. Το πρώτο βήµα για την αντιµετώπιση του εγκλήµατος στον κυβερνοχώρο είναι να γνωρίζει κανείς τους κινδύνους που αντιµετωπίζει και στη συνέχεια να αποφασίσει τους ελέγχους που πρέπει να εφαρµοστούν για την ελαχιστοποίηση αυτών των κινδύνων.

Ο Dr Humphreys επισηµαίνει επίσης ότι πρότυπα όπως η οικογένεια ISO/IEC 27000, που αναπτύχθηκαν από τον ∆ιεθνή Οργανισµό Τυποποίησης ISO και τον ∆ιεθνή Οργανισµό Ηλεκτροτεχνικής Τυποποίησης (IEC), είναι μια de facto επιλογή για κάθε οργανισµό που επιθυµεί να δηµιουργήσει ισχυρές λύσεις κατά του εγκλήµατος στον κυβερνοχώρο. Αυτή η σειρά διεθνών προτύπων καθορίζει ένα σύστηµα διαχείρισης που µπαίνει στη διαδικασία διαχείρισης κινδύνων, με σκοπό την αξιολόγηση των κινδύνων και στη συνέχεια τον προσδιορισµό των ελέγχων που απαιτούνται για την αντιµετώπισή τους.

«Υπάρχει µια σειρά προτύπων που υποστηρίζουν το πρότυπο ISO/IEC 27001, όπως το ISO/IEC 27005 για τη διαχείριση κινδύνων ασφάλειας πληροφοριών και τις κατευθυντήριες γραµµές εφαρµογής του ISO/IEC 27003», αναφέρει. «Και υπάρχουν πολλά άλλα πρότυπα που παρέχουν τεχνική υποστήριξη για το ISO/IEC 27001, για παράδειγµα για την ασφάλεια δικτύων και την ενσωµάτωση χαρακτηριστικών ασφαλείας στην τεχνολογία, τις υπηρεσίες και τις εφαρµογές».

Ο ∆ρ Humphreys επαναλαµβάνει την ανάγκη για τις εταιρείες να είναι προετοιµασµένες και έτοιµες να αντιµετωπίσουν αυτές τις επιθέσεις. «Οι κυβερνοεπιθέσεις µπορούν να πραγµατοποιηθούν οποτεδήποτε και οπουδήποτε και αυτό που είναι βέβαιο είναι ότι αυτές οι επιθέσεις θα συµβούν, αλλά δεν µπορούµε ποτέ να είµαστε σίγουροι πότε ή πού».

«Το να είσαι έτοιµος και προετοιµασµένος είναι µια βασική επιχειρηµατική δραστηριότητα για επιβίωση. Περιλαµβάνει µια επιχείρηση που έχει θέσει σε εφαρµογή µια διαδικασία για να είναι σε θέση να προβλέψει, να εντοπίσει και να αναφέρει περιστατικά και να αναλύσει αυτά τα περιστατικά και να αποφασίσει πώς να ανταποκριθεί σε αυτά». Όλα αυτά πρέπει να γίνουν µε γρήγορο και έγκαιρο τρόπο για να περιοριστεί ο αντίκτυπος που θα µπορούσε να προκαλέσει το περιστατικό.

Πώς µπορούν λοιπόν οι επιχειρήσεις να είναι καλύτερα προετοιµασµένες; Μόλις µια επιχείρηση εντοπίσει την παρουσία µιας κακόβουλης επίθεσης κώδικα ή µιας επίθεσης άρνησης εξυπηρέτησης (Denial-of-Service (DoS) attack), όσο πιο γρήγορα ανταποκρίνεται µε τα κατάλληλα µέτρα ασφαλείας τόσο µεγαλύτερη είναι η πιθανότητα περιορισµού της εξάπλωσης αυτών των επιθέσεων, καθώς και περιορισµού των επιπτώσεων και ζηµιών. Υπάρχουν πρότυπα που βοηθούν τις επιχειρήσεις να είναι καλύτερα προετοιµασµένες, προκειµένου να ανταποκριθούν σύµφωνα µε το πρότυπο διαχείρισης συµβάντων ISO / IEC 27035, το πρότυπο για τη διαχείριση της επιχειρησιακής συνέχειας (incident management standard) ISO 22301 και το πρότυπο ετοιµότητας ΤΠΕ (ICT readiness standard ) ISO / IEC 27031.

Η συλλογική δράση είναι απαραίτητη

Προκειµένου να προωθηθούν ασφαλέστερα και ανθεκτικά συστήµατα κυβερνοασφάλειας, η διαχείριση µιας αλυσίδας εφοδιασµού είναι ένα καλό παράδειγµα για συλλογική δράση σε όλα τα µέρη της αλυσίδας, προκειµένου να διατηρηθεί ασφαλής. Υπάρχουν πρότυπα που βοηθούν στην ασφάλεια της εφοδιαστικής αλυσίδας, όπως το ISO 28000 και το ISO/IEC 27036.

Απαιτείται επίσης συλλογική δράση σε διάφορα σενάρια που αφορούν επιχειρηµατικές σχέσεις και επικοινωνίες µε άλλους οργανισµούς. Υπάρχει µια οµάδα προτύπων διαχείρισης που θα βοηθήσουν στην οικοδόµηση ανθεκτικότητας για την αντιµετώπιση της διαταραχής των επιχειρήσεων και τη διασφάλιση της επιβίωσης και του συστήµατος διακυβέρνησης. Αυτές περιλαµβάνουν το ISO 22301 (συστήµατα διαχείρισης επιχειρησιακής συνέχειας), το ISO/IEC 27001 (συστήµατα διαχείρισης ασφάλειας πληροφοριών) και το ISO/IEC 27014 (διακυβέρνηση ασφάλειας πληροφοριών).

Με την ανάπτυξη και την εξάρτηση από τη συνδεσιµότητα για τις επιχειρήσεις, την υποδοµή που την υποστηρίζει και τη χρήση του διαδικτύου και των κινητών συσκευών, υπάρχει ακόµη µεγαλύτερη ανάγκη για ασφάλεια και ανθεκτικότητα του συστήµατος. Ο ∆ρ Humphreys αναγνωρίζει ότι τα πρότυπα πρέπει να εξελιχθούν για να ταιριάζουν µε τις ραγδαίες εξελίξεις στην τεχνολογία. «Η τρίτη έκδοση του ISO/IEC 27002, για παράδειγµα, δηµοσιεύτηκε το πρώτο τρίµηνο του 2022.

Αυτό το πρότυπο υψηλού προφίλ ασχολείται µε τους ελέγχους ασφάλειας πληροφοριών και έχει ενηµερωθεί ώστε να ταιριάζει µε την πρόοδο στην τεχνολογία, τις επιχειρηµατικές εξελίξεις και πρακτικές και τους νέους νόµους και κανονισµούς».

Tο 2021 υπήρξαν πολλές εξελίξεις στην τυποποίηση. Αυτές συµπληρώνονται από πρόσφατες τεχνικές προδιαγραφές, όπως το ISO/IEC TS 27570, το οποίο παρέχει καθοδήγηση σχετικά µε την προστασία της ιδιωτικής ζωής του οικοσυστήµατος έξυπνων πόλεων και το ISO/IEC TS 27100, το οποίο καθορίζει τον τρόπο δηµιουργίας ή βελτίωσης ισχυρών συστηµάτων για την προστασία από κυβερνοεπιθέσεις.

Η πλήρης οικογένεια προτύπων ISO/IEC 27000 και αυτές οι τεχνολογικές προδιαγραφές αποτελούν το θεµέλιο για την οικοδόµηση και τη διαχείριση ενός ασφαλούς µέλλοντος.

Η υιοθέτηση και εφαρµογή των Ευρωπαϊκών και ∆ιεθνών Προτύπων στην Κύπρο γίνεται µέσω του Κυπριακού Οργανισµού Τυποποίησης (CYS). Σχετική ενηµέρωση µπορούν να λάβουν οι ενδιαφερόµενοι από τους αρµόδιους λειτουργούς του (CYS) και το Κέντρο Πληροφόρησης & Εξυπηρέτησης (ΚΕΠΕ).

Πηγή ISO / ∆ρ Στέφανος Γκιούρωφ – Λειτουργός Τυποποίησης στον Κυπριακό Οργανισµό Τυποποίησης (CYS)

 

Ακολουθήστε μας στο Google News.
Eιδήσεις από την Κύπρο και τον κόσμο, όλη η επικαιρότητα στο dialogos.com.cy.