Cyberattack σε μικρή επιχείρηση: Ποιος πληρώνει τον λογαριασμό;
Ακολουθήστε μας στο Linkedin και συνδεθείτε με άλλους επαγγελματίες του κλάδου
Για μια μικρή επιχείρηση, ένα cyberattack μπορεί να ξεκινήσει με κάτι που μοιάζει ασήμαντο: ένα email που ανοίχτηκε από έναν εργαζόμενο, έναν κωδικό που υποκλάπηκε ή ένα link που φαινόταν να προέρχεται από συνεργάτη.
Οι συνέπειες, όμως, μπορεί να είναι πολύ μεγαλύτερες.
Ένα ransomware μπορεί να «κλειδώσει» τα αρχεία της επιχείρησης. Μια παραβίαση email μπορεί να οδηγήσει σε οικονομική απάτη. Η κλοπή δεδομένων πελατών μπορεί να δημιουργήσει υποχρεώσεις βάσει του GDPR. Και όσο τα συστήματα παραμένουν εκτός λειτουργίας, η επιχείρηση μπορεί να συνεχίζει να έχει έξοδα χωρίς να μπορεί να λειτουργήσει κανονικά.
Το ερώτημα, λοιπόν, δεν είναι μόνο «μπορεί να δεχθεί επίθεση μια μικρή επιχείρηση;» αλλά και «ποιος πληρώνει όταν συμβεί;»
Ένα cyberattack δεν αφορά μόνο τον υπολογιστή
Στην Κύπρο, όπως και στην υπόλοιπη Ευρώπη, οι μικρομεσαίες επιχειρήσεις δεν βρίσκονται έξω από το στόχαστρο των κυβερνοεγκληματιών.
Η ENISA έχει επισημάνει ότι μεταξύ των συχνότερων περιστατικών που αντιμετωπίζουν οι μικρομεσαίες επιχειρήσεις περιλαμβάνονται το phishing, το ransomware, η κλοπή φορητών υπολογιστών και η λεγόμενη CEO fraud, δηλαδή η εξαπάτηση εργαζομένου ώστε να πραγματοποιήσει μια πληρωμή ή άλλη ενέργεια που φαίνεται να έχει ζητηθεί από ανώτερο στέλεχος.
Και το κόστος ενός περιστατικού δεν περιορίζεται στην επισκευή ενός υπολογιστή.
Μπορεί να περιλαμβάνει:
- τεχνική διερεύνηση του περιστατικού,
- αποκατάσταση συστημάτων και δεδομένων,
- αγορά ή αντικατάσταση εξοπλισμού,
- νομικά και συμβουλευτικά έξοδα,
- έξοδα διαχείρισης παραβίασης δεδομένων,
- πιθανή απώλεια εισοδήματος από τη διακοπή εργασιών,
- απαιτήσεις από πελάτες ή άλλους τρίτους,
- καθώς και κόστος ενημέρωσης και διαχείρισης των επηρεαζόμενων προσώπων.
Με άλλα λόγια, το cyber risk είναι πλέον και οικονομικό risk.
Το πρώτο κόστος: να επανέλθει η επιχείρηση
Ας πάρουμε ένα απλό παράδειγμα.
Μια μικρή λογιστική εταιρεία στην Κύπρο δέχεται ransomware. Οι εργαζόμενοι δεν μπορούν να αποκτήσουν πρόσβαση στα αρχεία και στα συστήματα της εταιρείας.
Το πρώτο βήμα δεν είναι απλώς να «ξαναλειτουργήσουν οι υπολογιστές».
Χρειάζεται να διαπιστωθεί τι συνέβη, ποια συστήματα επηρεάστηκαν, αν έχουν παραβιαστεί δεδομένα και πώς μπορεί να γίνει ασφαλής αποκατάσταση.
Μπορεί, επομένως, να χρειαστούν ειδικοί κυβερνοασφάλειας, forensic investigation, αποκατάσταση αντιγράφων ασφαλείας, τεχνική υποστήριξη και άλλες υπηρεσίες.
Και όλα αυτά έχουν κόστος.
Το πρόβλημα γίνεται ακόμη μεγαλύτερο αν η επιχείρηση δεν μπορεί να λειτουργήσει για κάποιες ημέρες.
Ακόμη και αν δεν υπάρχει άμεση οικονομική κλοπή, μπορεί να υπάρξει απώλεια εσόδων επειδή η επιχείρηση δεν μπορεί να εξυπηρετήσει τους πελάτες της.
Και αν έχουν κλαπεί προσωπικά δεδομένα;
Εδώ η κατάσταση γίνεται πιο σύνθετη.
Μια κυβερνοεπίθεση μπορεί να οδηγήσει σε παραβίαση προσωπικών δεδομένων πελατών, εργαζομένων ή συνεργατών.
Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) εφαρμόζεται και στην Κύπρο, ενώ ο Νόμος 125(I)/2018 αποτελεί το εθνικό νομοθετικό πλαίσιο για την αποτελεσματική εφαρμογή του GDPR.
Σε περίπτωση παραβίασης προσωπικών δεδομένων, ο υπεύθυνος επεξεργασίας πρέπει να αξιολογήσει το περιστατικό και, όπου υπάρχει σχετικός κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, να ενημερώσει την αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τότε που έλαβε γνώση της παραβίασης.
Σε περίπτωση που η παραβίαση είναι πιθανό να δημιουργήσει υψηλό κίνδυνο για τα επηρεαζόμενα πρόσωπα, μπορεί να απαιτείται και ενημέρωσή τους χωρίς αδικαιολόγητη καθυστέρηση.
Άρα, ένα cyberattack μπορεί να μετατραπεί από τεχνικό πρόβλημα σε ζήτημα κανονιστικής συμμόρφωσης, νομικής ευθύνης και προστασίας προσωπικών δεδομένων.
Ποιος πληρώνει, λοιπόν;
Η σύντομη απάντηση είναι: εξαρτάται από το περιστατικό και από τις ασφαλιστικές καλύψεις που έχει η επιχείρηση.
Χωρίς ειδική ασφαλιστική κάλυψη, το κόστος ενός περιστατικού μπορεί να βαρύνει την ίδια την επιχείρηση.
Μια επιχείρηση μπορεί να έχει ασφαλιστήριο περιουσίας ή αστικής ευθύνης, όμως αυτό δεν σημαίνει αυτομάτως ότι καλύπτεται για κάθε μορφή κυβερνοκινδύνου.
Εδώ έρχεται η Cyber Insurance.
Τι είναι η Cyber Insurance;
Η ασφάλιση κυβερνοκινδύνων είναι μια εξειδικευμένη ασφαλιστική κάλυψη που έχει σχεδιαστεί για συγκεκριμένους κινδύνους που προκύπτουν από cyber incidents.
Ανάλογα με το ασφαλιστήριο, μπορεί να περιλαμβάνει κάλυψη για διαφορετικές κατηγορίες εξόδων.
1. Έξοδα αντιμετώπισης του περιστατικού
Μπορεί, ανάλογα με τους όρους του συμβολαίου, να καλύπτονται έξοδα για την άμεση αντιμετώπιση ενός περιστατικού, όπως τεχνικοί σύμβουλοι, forensic experts ή άλλοι εξειδικευμένοι συνεργάτες.
2. Αποκατάσταση δεδομένων και συστημάτων
Αν τα δεδομένα ή τα συστήματα της επιχείρησης έχουν καταστραφεί, κρυπτογραφηθεί ή καταστεί μη διαθέσιμα, ένα ασφαλιστήριο μπορεί να προβλέπει κάλυψη συγκεκριμένων εξόδων αποκατάστασης.
3. Business interruption
Μια από τις σημαντικότερες οικονομικές συνέπειες ενός cyberattack μπορεί να είναι η διακοπή της λειτουργίας.
Αν μια επιχείρηση δεν μπορεί να λειτουργήσει λόγω ενός καλυπτόμενου cyber incident, ορισμένα ασφαλιστήρια μπορούν, υπό συγκεκριμένες προϋποθέσεις και όρια, να καλύπτουν απώλεια εισοδήματος ή πρόσθετα έξοδα που προκύπτουν από τη διακοπή.
4. Νομική και κανονιστική υποστήριξη
Όταν υπάρχει παραβίαση δεδομένων, η επιχείρηση μπορεί να χρειαστεί νομική υποστήριξη και συμβουλές σχετικά με τις υποχρεώσεις της.
Ανάλογα με το συμβόλαιο, τέτοια έξοδα μπορεί να αποτελούν μέρος της κάλυψης.
5. Απαιτήσεις τρίτων
Το cyber incident μπορεί να επηρεάσει όχι μόνο την ίδια την επιχείρηση αλλά και πελάτες ή συνεργάτες.
Εάν, για παράδειγμα, δεδομένα πελατών παραβιαστούν ή μια κυβερνοεπίθεση προκαλέσει ζημιά σε τρίτο μέρος, μπορεί να υπάρξουν απαιτήσεις εναντίον της επιχείρησης.
Και εδώ, η κάλυψη και τα όρια εξαρτώνται από τους όρους του συγκεκριμένου ασφαλιστηρίου.
«Έχω backup, άρα είμαι καλυμμένος»;
Όχι απαραίτητα.
Τα backups είναι ένα από τα σημαντικότερα μέτρα κυβερνοασφάλειας, αλλά δεν αποτελούν ασφαλιστήριο.
Ένα καλό backup μπορεί να βοηθήσει μια επιχείρηση να επαναφέρει τα δεδομένα της μετά από ransomware ή άλλη επίθεση.
Δεν εξαλείφει όμως απαραίτητα το κόστος της διερεύνησης, της αποκατάστασης, της διακοπής εργασιών, της διαχείρισης μιας παραβίασης προσωπικών δεδομένων ή μιας πιθανής απαίτησης τρίτου.
Γι’ αυτό η κυβερνοασφάλεια και η Cyber Insurance δεν είναι υποκατάστατα η μία της άλλης. Είναι διαφορετικά επίπεδα διαχείρισης του ίδιου κινδύνου.
Χρειάζεται κάθε μικρή επιχείρηση Cyber Insurance;
Όχι απαραίτητα.
Δεν υπάρχει ένα ενιαίο ασφαλιστήριο που να είναι κατάλληλο για κάθε μικρή επιχείρηση.
Άλλο είναι το προφίλ κινδύνου ενός μικρού καταστήματος που χρησιμοποιεί ένα απλό σύστημα POS και άλλο μιας λογιστικής, ασφαλιστικής, ιατρικής ή digital εταιρείας που διαχειρίζεται μεγάλο όγκο προσωπικών δεδομένων και λειτουργεί σχεδόν αποκλειστικά μέσω ψηφιακών συστημάτων.
Η ανάγκη για Cyber Insurance θα πρέπει να αξιολογείται με βάση παράγοντες όπως:
- τι δεδομένα διαχειρίζεται η επιχείρηση,
- πόσο εξαρτάται από τα πληροφοριακά της συστήματα,
- αν πραγματοποιεί ηλεκτρονικές πληρωμές,
- αν διατηρεί στοιχεία πελατών,
- αν χρησιμοποιεί cloud services,
- αν εργάζεται με τρίτους παρόχους IT,
- πόσο γρήγορα μπορεί να συνεχίσει τη λειτουργία της μετά από μια επίθεση,
- και ποιες θα ήταν οι οικονομικές συνέπειες μιας διακοπής.
Και τι γίνεται με τη NIS2;
Τα τελευταία χρόνια, η κυβερνοασφάλεια αποκτά ακόμη μεγαλύτερη σημασία και σε επίπεδο ευρωπαϊκής νομοθεσίας.
Η NIS2 ενισχύει τις απαιτήσεις κυβερνοασφάλειας για οντότητες που δραστηριοποιούνται σε συγκεκριμένους κρίσιμους τομείς και κατηγορίες. Δεν σημαίνει, όμως, ότι κάθε μικρή επιχείρηση στην Κύπρο υπάγεται αυτόματα σε αυτήν.
Η Ευρωπαϊκή Επιτροπή αναφέρει ότι η οδηγία καλύπτει συγκεκριμένους τομείς, όπως ενέργεια, μεταφορές, υγεία, ψηφιακές υπηρεσίες, δημόσια διοίκηση και άλλους κρίσιμους τομείς. Παράλληλα, η Επιτροπή έχει επισημάνει ότι η Κύπρος δεν είχε ακόμη κοινοποιήσει πλήρη μεταφορά της NIS2 στο εθνικό της δίκαιο κατά την τελευταία διαθέσιμη αξιολόγηση.
Επομένως, μια μικρή επιχείρηση δεν πρέπει να θεωρήσει αυτομάτως ότι «η NIS2 αφορά όλους» ή, αντίθετα, ότι «επειδή είμαι μικρή δεν με αφορά». Η εφαρμογή εξαρτάται από τον κλάδο και τα χαρακτηριστικά της κάθε οντότητας.
Η ασφάλιση δεν αντικαθιστά την κυβερνοασφάλεια
Ένα από τα σημαντικότερα σημεία που πρέπει να γίνει κατανοητό είναι ότι η Cyber Insurance δεν αποτελεί άδεια για χαλαρά μέτρα ασφαλείας.
Η επιχείρηση εξακολουθεί να χρειάζεται βασικά μέτρα προστασίας: ισχυρούς και μοναδικούς κωδικούς, πολυπαραγοντική ταυτοποίηση, ενημερωμένα συστήματα, backups, περιορισμό δικαιωμάτων πρόσβασης, εκπαίδευση εργαζομένων και ένα σχέδιο αντιμετώπισης περιστατικών.
Η ENISA επισημαίνει ότι η έλλειψη ενημέρωσης και ανεπαρκή μέτρα προστασίας αποτελούν σημαντικές προκλήσεις για τις μικρομεσαίες επιχειρήσεις.
Και αυτό έχει σημασία και για την ίδια την ασφαλιστική κάλυψη: οι ασφαλιστές μπορεί να αξιολογούν το επίπεδο κυβερνοασφάλειας μιας επιχείρησης πριν προσφέρουν κάλυψη και να θέτουν συγκεκριμένες προϋποθέσεις ή εξαιρέσεις.
Το πραγματικό ερώτημα είναι πόσο θα κόστιζε η επίθεση
Για μια μικρή επιχείρηση, το σημαντικότερο ερώτημα δεν είναι αν διαθέτει αρκετούς υπολογιστές ώστε να «αξίζει» να γίνει στόχος.
Είναι:
«Αν αύριο χάσω πρόσβαση στα συστήματά μου, στα δεδομένα μου και στο email μου, πόσο θα μου κοστίσει να συνεχίσω να λειτουργώ;»
Η απάντηση μπορεί να είναι πολύ μεγαλύτερη από το κόστος ενός υπολογιστή.
Και ακριβώς γι’ αυτό η αντιμετώπιση του cyber risk χρειάζεται να συνδυάζει πρόληψη, σχέδιο αντιμετώπισης και, όπου κρίνεται σκόπιμο, ασφαλιστική προστασία.
Γιατί τελικά, σε μια κυβερνοεπίθεση, ο λογαριασμός δεν αφορά μόνο το «χακαρισμένο» σύστημα.
Αφορά ολόκληρη την επιχείρηση.
