Υπουργείο Ψηφιακής Διακυβέρνησης

Δικτυακός Τόπος Διαβουλεύσεων

• Σχόλιο του χρήστη 'Δημήτριος Κοκουτσίδης' | 21 Οκτωβρίου 2024, 19:59

  Μόνιμος Σύνδεσμος

  Ως σύμβουλος κυβερνοασφάλειας με εκτενή εμπειρία στον τομέα της προστασίας πληροφοριακών συστημάτων, αλυσίδων εφοδιασμού λογισμικού και IT υποδομών, θα ήθελα να καταθέσω τις προτάσεις μου σχετικά με το υπό διαβούλευση νομοσχέδιο για την ενσωμάτωση της Οδηγίας NIS 2 στην ελληνική νομοθεσία. Θέμα: Θεσμοθέτηση Υποχρεωτικών Ελέγχων Κυβερνοασφάλειας και Διενέργειας Penetration Testing για Μικρότερες Εταιρείες και Συνεργάτες των Οντοτήτων που Εμπίπτουν στο NIS 2 – Ενίσχυση της Ασφάλειας της Αλυσίδας Εφοδιασμού Λογισμικού και της IT Υποδομής Αιτιολόγηση: Η αλυσίδα εφοδιασμού λογισμικού (Software Supply Chain) και η ασφάλεια της IT υποδομής αποτελούν πλέον από τα πιο κρίσιμα σημεία ευπάθειας σε παγκόσμιο επίπεδο. Οι επιθέσεις μέσω της αλυσίδας εφοδιασμού και οι παραβιάσεις της IT υποδομής έχουν αυξηθεί δραματικά, με σοβαρές επιπτώσεις στην εθνική ασφάλεια και την οικονομία. Οι μικρότερες εταιρείες και οι συνεργάτες των βασικών και σημαντικών οντοτήτων συχνά δεν διαθέτουν τους απαραίτητους πόρους ή την τεχνογνωσία για την εφαρμογή προηγμένων πρακτικών ασφαλείας, όπως τακτικά penetration tests (δοκιμές διείσδυσης) στην IT υποδομή τους. Αυτό δημιουργεί ευπάθειες που μπορούν να εκμεταλλευτούν κακόβουλοι παράγοντες για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε κρίσιμα συστήματα και δεδομένα. Πρακτικά Βήματα που Πρέπει να Επιβάλλει ο Νόμος: Υποχρεωτικοί Ελέγχοι Κυβερνοασφάλειας και Penetration Testing: Περιοδικότητα και Πλαίσιο: Υποχρεωτική διενέργεια ετήσιων ελέγχων κυβερνοασφάλειας που να περιλαμβάνουν τόσο την αξιολόγηση της αλυσίδας εφοδιασμού λογισμικού όσο και penetration testing της IT υποδομής. Πιστοποιημένοι Φορείς Ελέγχου: Οι έλεγχοι και τα penetration tests πρέπει να διενεργούνται από ανεξάρτητους, πιστοποιημένους φορείς ή επαγγελματίες με αναγνωρισμένα προσόντα (π.χ., OSCP, CEH, CISSP). Ασφάλεια της Αλυσίδας Εφοδιασμού και IT Υποδομής: Συμβατικές Υποχρεώσεις: Οι βασικές και σημαντικές οντότητες πρέπει να απαιτούν από τους προμηθευτές και συνεργάτες τους την τήρηση συγκεκριμένων προτύπων κυβερνοασφάλειας, συμπεριλαμβανομένης της διενέργειας penetration tests. Αξιολόγηση Ρίσκου Προμηθευτών: Καθιέρωση διαδικασιών αξιολόγησης του κινδύνου που προέρχεται από την IT υποδομή των προμηθευτών, καθώς και από τα προϊόντα και τις υπηρεσίες τους. Πιστοποίηση Προϊόντων, Υπηρεσιών και Υποδομών: Απαίτηση Πιστοποίησης: Όλα τα προϊόντα λογισμικού, οι υπηρεσίες και οι IT υποδομές που παρέχονται από μικρότερες εταιρείες πρέπει να είναι πιστοποιημένα ως προς την ασφάλειά τους. Επαλήθευση και Δοκιμές: Διενέργεια δοκιμών ασφαλείας, όπως vulnerability assessments και penetration tests, για την επαλήθευση της ανθεκτικότητας των συστημάτων. Εκπαίδευση και Ευαισθητοποίηση: Υποχρεωτική Εκπαίδευση Προσωπικού: Παροχή εκπαιδεύσεων σχετικά με ασφαλείς πρακτικές στην ανάπτυξη λογισμικού, στη διαχείριση συστημάτων και στην αντιμετώπιση κυβερνοαπειλών. Πρακτική Εξάσκηση: Διοργάνωση εργαστηρίων και ασκήσεων που προσομοιώνουν πραγματικές επιθέσεις (π.χ., red teaming exercises). Δημιουργία Μητρώου Πιστοποιημένων Συνεργατών και Υποδομών: Κεντρικό Μητρώο: Καταγραφή εταιρειών που έχουν συμμορφωθεί με τις απαιτήσεις κυβερνοασφάλειας και έχουν διενεργήσει επιτυχώς penetration tests στις υποδομές τους. Διαφάνεια και Αξιοπιστία: Παροχή πρόσβασης στις βασικές και σημαντικές οντότητες για την επιλογή αξιόπιστων και ασφαλών συνεργατών. Υποστήριξη και Κίνητρα για Μικρομεσαίες Επιχειρήσεις (ΜΜΕ): Οικονομική Ενίσχυση: Προγράμματα επιδότησης για τη διενέργεια penetration tests και την ενίσχυση της ασφάλειας της IT υποδομής. Τεχνική Βοήθεια: Παροχή οδηγών, εργαλείων και συμβουλευτικών υπηρεσιών για την υλοποίηση ασφαλών πρακτικών. Κυρώσεις για Μη Συμμόρφωση: Πρόστιμα και Αποκλεισμοί: Επιβολή διοικητικών προστίμων και δυνατότητα αποκλεισμού από συμβάσεις σε περίπτωση μη συμμόρφωσης με τις απαιτήσεις ασφαλείας. Εντατικοί Έλεγχοι: Διεξαγωγή τακτικών και έκτακτων ελέγχων για τη διασφάλιση της συμμόρφωσης. Διαφάνεια και Αναφορά Περιστατικών: Υποχρεωτική Αναφορά Περιστατικών: Υποχρέωση αναφοράς περιστατικών ασφαλείας που επηρεάζουν την IT υποδομή ή την αλυσίδα εφοδιασμού λογισμικού. Κοινοποίηση Αποτελεσμάτων Penetration Testing: Παροχή αναφορών και ευρημάτων από τα penetration tests στις αρμόδιες αρχές και στους συνεργάτες. Συνεργασία και Ανταλλαγή Πληροφοριών: Δικτύωση και Φόρουμ: Δημιουργία δικτύων συνεργασίας για την ανταλλαγή πληροφοριών σχετικά με νέες απειλές και τεχνικές άμυνας. Συμμετοχή σε CSIRTs: Ενθάρρυνση της συμμετοχής σε Ομάδες Αντιμετώπισης Περιστατικών Ασφαλείας Υπολογιστών (CSIRTs). Προσδοκώμενα Οφέλη: Ολοκληρωμένη Προστασία: Με την ενσωμάτωση του penetration testing, οι εταιρείες θα μπορούν να εντοπίζουν και να αντιμετωπίζουν ευπάθειες στην IT υποδομή τους πριν αυτές εκμεταλλευτούν από επιτιθέμενους. Μείωση Επιτυχημένων Επιθέσεων: Η προληπτική προσέγγιση θα μειώσει σημαντικά τον αριθμό των επιτυχημένων κυβερνοεπιθέσεων και των παραβιάσεων δεδομένων. Αύξηση Εμπιστοσύνης: Οι πελάτες και οι συνεργάτες θα έχουν μεγαλύτερη εμπιστοσύνη στις εταιρείες που επενδύουν στην ασφάλεια της IT υποδομής τους. Ευθυγράμμιση με Διεθνή Πρότυπα: Η διενέργεια penetration tests είναι πρακτική που υιοθετείται ευρέως διεθνώς, και η ενσωμάτωσή της θα τοποθετήσει τη χώρα μας σε πρωτοποριακή θέση. Ανάπτυξη Εθνικής Εξειδίκευσης: Θα ενισχυθεί ο τομέας της κυβερνοασφάλειας με τη δημιουργία νέων θέσεων εργασίας και την ανάπτυξη εξειδικευμένων επαγγελματιών. Ανθεκτικότητα σε Εξελισσόμενες Απειλές: Η συνεχής αξιολόγηση και βελτίωση της ασφάλειας θα καταστήσει τις επιχειρήσεις πιο ανθεκτικές σε νέες μορφές επιθέσεων. Συμπεράσματα και Συστάσεις: Η προσθήκη της διενέργειας penetration testing ως υποχρεωτικό μέτρο για τις μικρότερες εταιρείες και τους συνεργάτες των βασικών και σημαντικών οντοτήτων θα ενισχύσει σημαντικά το επίπεδο κυβερνοασφάλειας. Η ολοκληρωμένη προσέγγιση που περιλαμβάνει τόσο την αλυσίδα εφοδιασμού λογισμικού όσο και την IT υποδομή θα δημιουργήσει ένα ισχυρό τείχος προστασίας απέναντι στις κυβερνοαπειλές. Προτείνω την ενσωμάτωση των παραπάνω προτάσεων στο νομοσχέδιο, ώστε να διασφαλιστεί η προστασία των κρίσιμων υποδομών και να ενισχυθεί η εμπιστοσύνη στις ψηφιακές υπηρεσίες της χώρας μας.