ΝΟΣΟΚΟΜΕΊΑ ΚΑΙ ΦΑΡΜΑΚΕΥΤΙΚΈΣ ΕΤΑΙΡΕΊΕΣ ΓΙΑ ΕΠΑΝΕΞΈΤΑΣΗ ΣΤΟΝ ΚΥΒΕΡΝΟΧΏΡΟ

Μια οδηγία κατά των χάκερ

Η επίγνωση των απειλών στον κυβερνοχώρο ήταν η κύρια προϋπόθεση για τη δημιουργία από το Ευρωπαϊκό Κοινοβούλιο της οδηγίας για την ασφάλεια δικτύων και πληροφοριών (συντομογραφία NIS), η οποία εκδόθηκε τον Ιούλιο του 2016. Πρόσφατα, η Ευρωπαϊκή Επιτροπή, σε ειδική έκκληση προς 17 χώρες, συμπεριλαμβανομένης της Πολωνίας, υποχρεώθηκε να εφαρμόσει πλήρως αυτούς τους κανονισμούς εγγυάται ισότιμο επίπεδο ασφάλειας για συστήματα δικτύου και πληροφοριών σε ολόκληρη την Ένωση. Ως αποτέλεσμα, το πολωνικό κοινοβούλιο προετοίμασε μια πράξη για το σύστημα εθνικής ασφάλειας, το οποίο τέθηκε σε ισχύ στις 28 Αυγούστου 2018. Οι πάροχοι ψηφιακών υπηρεσιών (προγράμματα περιήγησης στο Διαδίκτυο, σύννεφα, πλατφόρμες συναλλαγών), η κρατική διοίκηση και τα λεγόμενα φορείς εκμετάλλευσης βασικών υπηρεσιών, δηλαδή οντότητες των οποίων η ασφάλεια πληροφορικής είναι ιδιαίτερα σημαντική. Εκτιμάται ότι στην Πολωνία είναι ελαφρώς περισσότερες από 300 οντότητες - συμπεριλαμβανομένων τραπεζών, εταιρειών της βιομηχανίας ενέργειας και μεταφορών. Σχεδόν το ένα τρίτο θα είναι εταιρείες και ιδρύματα από τον τομέα της υγειονομικής περίθαλψης: κατασκευαστές και χονδρέμποροι ναρκωτικών, μεγάλες ιατρικές εγκαταστάσεις.

- Όλες αυτές οι οντότητες πρέπει να εκπληρώσουν ορισμένες δαπανηρές και χρονοβόρες υποχρεώσεις. Περίπου το 70 τοις εκατό από αυτά είναι τεχνολογικά ζητήματα και το υπόλοιπο 30 τοις εκατό είναι νομικά ζητήματα, όπως η προετοιμασία κατάλληλων εγγράφων ασφαλείας, ο χειρισμός συμβάντων, η διαχείριση κινδύνων, η εκπαίδευση προσωπικού - λέει ο Marcin Jan Wachowski.

Η εφαρμογή της πράξης στην Πολωνία μόλις εισέρχεται στη φάση εφαρμογής - στις 9 Νοεμβρίου, η προθεσμία για την ένδειξη των φορέων εκμετάλλευσης βασικών υπηρεσιών έληξε και αυτή τη στιγμή εκδίδονται διοικητικές αποφάσεις. Στην περίπτωση της υγειονομικής περίθαλψης, οι φορείς εκμετάλλευσης βασικών υπηρεσιών υποδεικνύονται από τον Υπουργό Υγείας.

- Καθεμία από τις αναφερόμενες οντότητες μπορεί φυσικά να ασκήσει ένσταση κατά αυτής της απόφασης, π.χ. εάν πιστεύει ότι είχαν ταξινομηθεί εσφαλμένα. Οι υποχρεώσεις που σχετίζονται με την προσαρμογή στα ΝΑΚ έχουν χωριστεί σε τρία στάδια που διαρκούν αρκετούς μήνες. Μετά από ένα χρόνο, θα συμπληρώνεται από έλεγχο ασφαλείας, ο οποίος θα επαναλαμβάνεται κάθε δύο χρόνια - εξηγεί ο Marcin Jan Wachowski.

Υψηλό κόστος, λίγοι ειδικοί

Η προσαρμογή στους κανονισμούς που σχετίζονται με την ασφάλεια πληροφορικής είναι μια οικονομική και οργανωτική πρόκληση. Σύμφωνα με ειδικούς, οι εκπρόσωποι των φαρμακευτικών εταιρειών που λειτουργούν στην Πολωνία θα πρέπει να έχουν τα λιγότερα προβλήματα με αυτό. Πρόκειται συνήθως για παγκόσμιες εταιρείες υψηλής τεχνολογίας με πρόσβαση σε εργαλεία που βασίζονται σε cloud, επομένως η εφαρμογή των NIS θα είναι σχετικά απλή εδώ. Οι χονδρέμποροι και οι αλυσίδες φαρμακείων, που συνήθως χρησιμοποιούν εξωτερικούς διαχειριστές δικτύου, αντιμετωπίζουν μια ελαφρώς μεγαλύτερη πρόκληση. Αυτή η διαδικασία θα είναι σίγουρα το μεγαλύτερο πρόβλημα για νοσοκομεία και ιατρικές εγκαταστάσεις, κυρίως για οικονομικούς λόγους.

- Προετοιμάσαμε πρόσφατα μια μελέτη για τέτοιου είδους οντότητες που θα βοηθήσουν στην απόκτηση χρηματοδότησης για τη διασφάλιση της ασφάλειας στον κυβερνοχώρο και αποδείχθηκε ότι δεν υπάρχουν κεφάλαια για καινοτομία ή τομεακά που θα καλύπτουν αυτόν τον τομέα. Άρα η κατάσταση είναι αρκετά δύσκολη. Το κράτος απαιτεί από τα νοσοκομεία να το κάνουν αυτό, αλλά τα χρήματα πρέπει να βρεθούν στον δικό τους προϋπολογισμό. Εν τω μεταξύ, όλοι γνωρίζουμε ότι η οικονομική κατάσταση της πολωνικής υπηρεσίας υγείας δεν είναι ρόδινη, λέει ο Marcin Jan Wachowski

Ωστόσο, ακόμη και για εταιρείες που δεν φοβούνται το κόστος αρκετών εκατοντάδων χιλιάδων ζλότι, η εξεύρεση ειδικών στον κυβερνοασφάλεια μπορεί να είναι πρόβλημα. Αυτά που διατίθενται στην Πολωνία έχουν από καιρό ζήτηση από πλούσιες δυτικές επιχειρήσεις. Η πρόσβαση σε νομικές συμβουλές, οι οποίες θα είναι απαραίτητες κατά τη δημιουργία τεκμηρίωσης ή ειδικών επιχειρησιακών κέντρων, όπου το CSIRT (Ομάδα Ασφάλειας Συμβάντων Ασφάλειας Υπολογιστών) θα συλλαμβάνει και επεξεργάζεται δεδομένα περιστατικών, είναι λιγότερο πρόβλημα.

Η έλλειψη τεκμηρίωσης και νομικών διαδικασιών προσαρμοσμένων στις απαιτήσεις του νόμου εκθέτει τον φορέα εκμετάλλευσης βασικών υπηρεσιών σε κυρώσεις, οι οποίες μπορούν να φτάσουν έως και δύο εκατομμύρια ζλότι (ή έως και διπλάσια την αμοιβή για τα άτομα που διαχειρίζονται αυτούς τους οργανισμούς). Μία από τις πρώτες τέτοιες περιπτώσεις, που σχετίζεται επίσης με παραβίαση του GDPR, αναφέρθηκε πρόσφατα στην Πορτογαλία, όπου το Νοσοκομείο Barreiro-Montijo επιβλήθηκε πρόστιμο 400.000 ευρώ για αμέλεια που παρέχει πρόσβαση σε ιατρικά δεδομένα σε πολλά άτομα που δεν θα πρέπει να έχει τέτοια πρόσβαση.