Άρθρο του κ. Νίκου Γεωργόπουλου που δημοσιεύτηκε στο Broker’s Time 49*

* Ο κ. Γεωργόπουλος είναι Cyber Privacy Risks Insurance Advisor, Cromar Coverholder at Lloyd’s, www.cyberinsurancequote.gr

Η ένταξη στο δυναμικό μιας επιχείρησης του Data Protection Officer και η εφαρμογή του γενικού κανονισμού προστασίας δεδομένων δημιουργούν ένα πρώτο δίχτυ προστασίας κάθε εταιρείας σε περιστατικά παραβίασης συστημάτων και απώλειας προσωπικών δεδομένων.

Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR)

Το νέο περιβάλλον στο οποίο καλούνται να δραστηριοποιηθούν οι επιχειρήσεις απαιτεί τη συμμόρφωσή τους με τον νέο Γενικό Κανονισμό για την Προστασία των Προσωπικών Δεδομένων (GDPR), ο οποίος απαιτεί από τις εταιρείες:

  • να έχουν εκπαιδεύσει κατάλληλα το ανθρώπινο δυναμικό τους,
  • να έχουν τα κατάλληλα μέτρα ασφαλείας και τις αναγκαίες πολιτικές για την προστασία των πληροφοριών,
  • να κάνουν αναλύσεις των επιπτώσεων που μπορούν να προκύψουν λόγω παραβίασης ιδιωτικότητας,
  • να σχεδιάζουν προϊόντα και υπηρεσίες λαμβάνοντας υπόψη την προστασία της ιδιωτικότητας,
  • να ενημερώνουν τις αρμόδιες αρχές εντός 72 ωρών από τον εντοπισμό συμβάντος παραβίασης συστημάτων και απώλειας δεδομένων,
  • να έχουν ορίσει υπεύθυνο για την προστασία των δεδομένων (Data Protection Officer),
  • να έχουν πλάνο αντιμετώπισης περιστατικών παραβίασης συστημάτων και απώλειας δεδομένων (Incident Response Plan),

    • Επίσης, ο νέος κανονισμός προβλέπει πρόστιμα τα οποία μπορούν να φθάσουν έως το 4% του τζίρου της επιχείρησης ή 20 εκατ. ευρώ -όποιο από τα δύο είναι μεγαλύτερο.

    Ο νέος κανονισμός θα αναγκάσει τις εταιρείες να συμμορφωθούν στα νέα δεδομένα και να προετοιμαστούν κατάλληλα επιλέγοντας προϊόντα και υπηρεσίες προστασίας των πληροφοριών που διαχειρίζονται, που θα τις βοηθήσουν να αντιμετωπίσουν αποτελεσματικά μελλοντικά περιστατικά, δημιουργώντας τις κατάλληλες συνθήκες που θα εξασφαλίσουν την ασφαλισιμότητα των εταιρειών και την ανάπτυξη της αγοράς του cyber insurance.

    O ρόλος του Data Protection Officer

    Ο Data Protection Officer αναλαμβάνει:

  • να εκπροσωπήσει την επιχείρηση έναντι των αρχών, εθνικών και ευρωπαϊκών,
  • να διασφαλίσει την εναρμόνιση της λειτουργίας της επιχείρησης σε ό,τι αφορά τις πολιτικές πρακτικές και τη μεθοδολογία επεξεργασίας, αποθήκευσης και μεταφοράς δεδομένων προσωπικού χαρακτήρα με το νέο αυστηρό νομοθετικό πλαίσιο, αλλά και να δημιουργήσει την κατάλληλη κουλτούρα στο ανθρώπινο δυναμικό της εταιρείας,
  • να προστατέψει την επιχείρηση από τους κινδύνους επιβολής των σημαντικότατων και βαρύτατων διοικητικών προστίμων που προβλέπει ο κανονισμός, τα οποία εκκινούν από 10 εκατ. ευρώ ή το 2% του παγκόσμιου τζίρου, αν πρόκειται για διεθνή όμιλο, και φτάνουν σε περίπτωση παράβασης βασικών διατάξεων του κανονισμού σε 20 εκατ. ευρώ ή στο 4% του παγκόσμιου τζίρου.

    • Ο Data Protection Officer θα πρέπει να έχει τις κατάλληλες γνώσεις και δεξιότητες για να ανταποκριθεί στον ρόλο του, με αποδεδειγμένη (πιστοποιημένη από ανεξάρτητο φορέα) γνώση και εμπειρία στη νομοθεσία και πρακτική εφαρμογή των διαδικασιών διαχείρισης προσωπικών δεδομένων. Επίσης, θα πρέπει να διαθέτει εχέγγυα ανεξαρτησίας και να αναφέρεται απευθείας στον CEO ή σε μέλος του ΔΣ της εταιρείας.

    Η ασφάλιση cyber insurance

    Η ασφάλιση cyber insurance αποτελεί ένα κρίσιμο κομμάτι της στρατηγικής για τη διαχείριση των κινδύνων, που πρέπει να χρησιμοποιεί κάθε εταιρεία για να αντιμετωπίσει τον υπολειπόμενο κίνδυνο (residual risk), που δεν μπορεί να μειώσει με τη χρήση διαδικασιών και πολιτικών διαχείρισης.

    Λαμβάνοντας υπόψη ότι 100% ασφάλεια δεν υπάρχει, οι εταιρείες θα πρέπει να εξετάσουν τη δυνατότητα μεταφοράς του κινδύνου που απομένει, και δεν μπορούν να μειώσουν περαιτέρω, σε προϊόντα cyber insurance.

    Ενώ η ασφάλιση δεν έχει τη δυνατότητα να εμποδίσει ένα περιστατικό παραβίασης ασφάλειας, μπορεί, εκτός από την κάλυψη των οικονομικών επιπτώσεων, να βοηθήσει στην καλύτερη υλοποίηση (Incident Response Plan) παραβίασης συστημάτων και απώλειας προσωπικών δεδομένων, παρέχοντας εξειδικευμένες ομάδες ειδικών με εμπειρία στη διαχείριση, καθώς και τις απαραίτητες υποδομές.

    Ας δούμε ένα παράδειγμα λειτουργίας ενός ασφαλιστηρίου συμβολαίου σε περίπτωση ενός περιστατικού Ransomware. Το Ransomware είναι κακόβουλο λογισμικό που «κλειδώνει» τις λειτουργίες υπολογιστών και συστημάτων, ενώ, παράλληλα, μπορεί να κρυπτογραφήσει δεδομένα και αρχεία, ζητώντας «λύτρα» σε κάποιο κρυπτονόμισμα (π.χ. Bitcoins), για να ανακτηθεί ο έλεγχος του υπολογιστή ή των συστημάτων και να χρησιμοποιηθούν ξανά τα μολυσμένα αρχεία.

    Παράδειγμα

    Ένας εργαζόμενος σε μια μεσιτική εταιρεία ασφαλειών στο Ηνωμένο Βασίλειο έκανε κλικ σε ένα μολυσμένο link που περιείχε ένα email που έλαβε, και ένα malware κατέβηκε στον εταιρικό server. To malware κρυπτογράφησε όλα τα αρχεία που περιείχε ο server.

    Ένα μήνυμα εμφανίστηκε στον υπολογιστή του εργαζομένου ζητώντας την πληρωμή 7 Bitcoin (10.900 ευρώ) στις επόμενες 24 ώρες, για να παραλάβει το κλειδί αποκρυπτογράφησης των αρχείων. Το συμβάν αυτό αποτελεί ένα Περιστατικό Παραβίασης Ασφάλειας Εταιρικού Δικτύου.

    Η εταιρεία επικοινώνησε με την ασφαλιστική της, για να την ενημερώσει για το συμβάν και να ζητήσει βοήθεια για τη διαχείρισή του. Ο Incident Response Manager της ασφαλιστικής εταιρείας που ανέλαβε τη διαχείριση του συμβάντος επικοινώνησε με τους ειδικούς διερεύνησης περιστατικών παραβίασης συστημάτων (Forensic Investigators) της ασφαλιστικής εταιρείας, για να διερευνήσουν τις συνθήκες του περιστατικού και να γνωμοδοτήσουν για το αν η εταιρεία μπορεί να αποφύγει την πληρωμή λύτρων.

    Πιθανές οικονομικές επιπτώσεις – Καλύψεις ασφαλιστηρίου που ενεργοποιούνται

    Cyber Extortion-Κυβερνοεκβιασμός

    Κόστη τα οποία σχετίζονται με την αντιμετώπιση του κακόβουλου λογισμικού και την επαναφορά των αρχείων σε περίπτωση μη καταβολής του ποσού των λύτρων:

  • Αμοιβή συμβούλου πληροφορικής, ο οποίος θα διερευνήσει τη δυνατότητα επαναφοράς των μολυσμένων από το κακόβουλο λογισμικό αρχείων από το back up που διατηρεί ο ασφαλισμένος.

    • 5.000 ευρώ

    Incident Response Expenses-Έξοδα Ανταπόκρισης Περιστατικού Παραβίασης

  • Αμοιβές ειδικών διερεύνησης εγκλημάτων που σχετίζονται με την παραβίαση πληροφοριακών συστημάτων (Forensic Investigators), για τον εντοπισμό του κακόβουλου λογισμικού, την ανάλυση των επιπτώσεων του συμβάντος, τον περιορισμό τους και την εκτίμηση του κόστους του συμβάντος.

    • 21.000 ευρώ

  • Αμοιβή εξειδικευμένου νομικού συμβούλου

    • 8.500 ευρώ

  • Αμοιβή Incident Response Manager

    • 7.200 ευρώ

    Data Asset Loss

    Κόστη επαναφοράς/αντικατάστασης κατεστραμμένων αρχείων από το κακόβουλο λογισμικό.

    18.000 ευρώ

    Συνολικό Κόστος Διαχείρισης Συμβάντος

    59.700 ευρώ

    Πρέπει να ενημερώνεται η Αρχή Προστασίας Προσωπικών Δεδομένων για αυτά τα συμβάντα;

    Σε περίπτωση περιστατικών κυβερνοεκβιασμού, πρέπει να ενημερώνονται οι αρμόδιες αρχές, σύμφωνα με τον νέο Κανονισμό Προστασίας Προσωπικών Δεδομένων (GDPR), γιατί το περιστατικό αυτό αφορά παραβίαση ασφάλειας του εταιρικού δικτύου και δείχνει ότι η εταιρεία δεν είχε λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα.

    Τι πρέπει να θυμόμαστε: Αν και το κόστος της πληρωμής λύτρων σε Bitcoin είναι μικρότερο από το κόστος που θα πληρώσει η ασφαλιστική εταιρεία σύμφωνα με τους όρους του ασφαλιστηρίου, οι αστυνομικές αρχές (FBI, Europol) συνιστούν να μην πληρώνονται τα λύτρα σε περιπτώσεις κυβερνοεκβιασμού.

    Η καταβολή των λύτρων αυξάνει την εγκληματικότητα και δείχνει την ανεπάρκεια διαδικασιών και πολιτικών της εταιρείας και τη μη ύπαρξη back up. Επίσης, δεν διασφαλίζει ότι μπορεί να γίνει η επαναφορά των αρχείων που έχουν κρυπτογραφηθεί, ούτε ότι η εταιρεία δεν θα ξαναγίνει στόχος σε σύντομο χρονικό διάστημα. Τα αντίγραφα των δεδομένων θα πρέπει να φυλάσσονται σε ασφαλές μέρος.

    Η ασφαλιστική εταιρεία, αν χρειαστεί, θα πληρώσει το ποσό των λύτρων σε Bitcoin, θα είναι όμως η τελευταία επιλογή για την επίλυση του προβλήματος.

    Το παραπάνω παράδειγμα αφορά εταιρεία που δραστηριοποιείται στο Ηνωμένο Βασίλειο, όμως τέτοια παραδείγματα συμβαίνουν καθημερινά και στην Ελλάδα, σε διάφορες επαγγελματικές ομάδες.

    Αν θέλετε να μάθετε περισσότερα για τον Γενικό Κανονισμό και την ασφάλιση cyber insurance, χρησιμοποιήστε τη βραβευμένη από την αγορά των Lloyd’s εκπαιδευτική μηχανή www.cyberinsurancequote.gr.