Προγράμματα ενημέρωσης για την κυβερνοασφάλεια: κλειδιά και πόροι

Informatec Digital » Πόροι » Προγράμματα ενημέρωσης για την κυβερνοασφάλεια: κλειδιά και πόροι

Σε ένα περιβάλλον όπου κάθε κλικ αφήνει ένα ίχνος, η κυβερνοασφάλεια και η διάδοσή της δεν είναι πλέον προαιρετική , αλλά ουσιαστικό μέρος της ψηφιακής ζωής των ατόμων, των επιχειρήσεων και των δημόσιων διοικήσεων. Περνάμε ένα σημαντικό μέρος της ημέρας μας συνδεδεμένοι: εργαζόμαστε, ψωνίζουμε, μιλάμε με τις οικογένειές μας, διαχειριζόμαστε τις επιχειρήσεις μας, ακόμη και συμβουλευόμαστε γιατρούς στο διαδίκτυο.

Αυτή η μαζική μετατόπιση στον διαδικτυακό κόσμο έχει φέρει πολλά πλεονεκτήματα, αλλά και κινδύνους: οι κυβερνοεπιθέσεις έχουν πολλαπλασιαστεί και έχουν γίνει πιο εξελιγμένες , στοχεύοντας προσωπικούς υπολογιστές, εταιρικά δίκτυα, βιομηχανικά συστήματα και νοσοκομεία. Εδώ μπαίνουν στο παιχνίδι τα προγράμματα ευαισθητοποίησης για την κυβερνοασφάλεια, και συγκεκριμένα τα προγράμματα αποκάλυψης τρωτών σημείων, οι γραμμές βοήθειας, τα σχέδια εκπαίδευσης και οι συμπράξεις δημόσιου και ιδιωτικού τομέα.

Τι είναι τα προγράμματα ενημέρωσης για την κυβερνοασφάλεια και γιατί είναι τόσο απαραίτητα;

Όταν μιλάμε για προγράμματα ενημέρωσης για την κυβερνοασφάλεια, αναφερόμαστε σε οργανωμένες πρωτοβουλίες που έχουν σχεδιαστεί για να ενημερώνουν, να εκπαιδεύουν και να συντονίζουν την κοινωνία απέναντι στις ψηφιακές απειλές . Αυτά τα προγράμματα μπορούν να υλοποιηθούν από δημόσιους φορείς, ιδιωτικές εταιρείες, διεθνείς οργανισμούς ή κοινοπραξίες και κυμαίνονται από εκστρατείες ευαισθητοποίησης έως συμβουλευτικές υπηρεσίες, εκπαιδευτικά μαθήματα και επίσημα πλαίσια για την αναφορά τρωτών σημείων.

Μέσα σε αυτό το πλαίσιο, ένας βασικός πυλώνας είναι το λεγόμενο Πρόγραμμα Αποκάλυψης Ευπαθειών (VDP). Ένα VDP είναι ένα δομημένο πλαίσιο που παρέχει σε τρίτους ένα σαφές κανάλι για την αναφορά κενών ασφαλείας στα συστήματα και τις εφαρμογές ενός οργανισμού, προτού αυτά τα ελαττώματα μπορέσουν να αξιοποιηθούν από εγκληματίες.

Οι υποδομές πληροφορικής, όσο καλά συντηρημένες κι αν φαίνονται, πάντα κρύβουν τρωτά σημεία: σφάλματα προγραμματισμού, λανθασμένες ρυθμίσεις, υπηρεσίες που δεν είναι πλήρως εκτεθειμένες ή παρωχημένα στοιχεία . Οι εισβολείς αναζητούν συνεχώς αυτές τις αδυναμίες. Επομένως, όλο και περισσότερες εταιρείες έχουν συνειδητοποιήσει ότι είναι καλύτερο να ζητήσουν τη βοήθεια ηθικών χάκερ, ερευνητών ασφαλείας και ενημερωμένων πολιτών για να εντοπίσουν αυτά τα προβλήματα το συντομότερο δυνατό.

Οι VDPs χρησιμοποιούν ένα μοντέλο crowdsourcing: η κοινότητα κυβερνοασφάλειας καλείται να εξετάσει τα συστήματα και να αναφέρει τρωτά σημεία μέσω ενός ασφαλούς και ρυθμιζόμενου καναλιού . Σε αντάλλαγμα, ο οργανισμός δεσμεύεται να χειρίζεται αυτές τις αναφορές με υπευθυνότητα, χωρίς να λαμβάνει νομικά μέτρα εναντίον όσων ενεργούν εντός των κανόνων του προγράμματος και, σε πολλές περιπτώσεις, να προσφέρει αναγνώριση ή ακόμη και αποζημίωση.

Προγράμματα Αποκάλυψης Ευπαθειών (VDP): Πώς Λειτουργούν και Τι Πρέπει να Περιλαμβάνουν

Ένα ισχυρό VDP περιλαμβάνει πολύ περισσότερα από μια απλή διεύθυνση email για την αναφορά σφαλμάτων. Ένα καλά σχεδιασμένο πρόγραμμα ορίζει με ακρίβεια τον τρόπο με τον οποίο εντοπίζονται, αναφέρονται, αναλύονται και διορθώνονται οι ευπάθειες , καθώς και τη δημιουργία της σχέσης μεταξύ της οντότητας που υποβάλλει την αναφορά και του ατόμου.

Σε μια τυπική εφαρμογή λογισμικού, είναι σύνηθες να εντοπίζονται δεκάδες σφάλματα για κάθε χίλιες γραμμές κώδικα . Ορισμένα από αυτά τα ελαττώματα μπορεί να περάσουν απαρατήρητα κατά την ανάπτυξη και να φτάσουν στην παραγωγή. Εάν ένας εισβολέας τα ανακαλύψει πρώτος, μπορούν να γίνουν η πύλη για ένα σοβαρό περιστατικό. Το ίδιο ισχύει και για τις μη ασφαλείς διαμορφώσεις, κάτι ιδιαίτερα κρίσιμο σε περιβάλλοντα cloud , όπου μια εσφαλμένη ρύθμιση μπορεί να εκθέσει ευαίσθητα δεδομένα σε τεράστια κλίμακα.

Ο κεντρικός σκοπός ενός VDP είναι, επομένως, η μείωση του κινδύνου συνδέοντας την έγκαιρη ανίχνευση τρωτών σημείων με την ταχεία και ομαλή αποκατάστασή τους . Για να επιτευχθεί αυτό, τουλάχιστον, ένα καλό πρόγραμμα αποκάλυψης τρωτών σημείων θα πρέπει να παρέχει:

• Μια σαφής πολιτική σχετικά με τον τρόπο με τον οποίο ο οργανισμός διαχειρίζεται τα τρωτά σημεία, ορίζοντας αρχές, ευθύνες και προσδοκίες τόσο εσωτερικές όσο και εξωτερικές.
• Μια απλή και προσβάσιμη μέθοδος αναφοράς (email, διαδικτυακή φόρμα, εξειδικευμένη πύλη κ.λπ.) που δεν απαιτεί περιττά βήματα από τον ερευνητή.
• Μια καλά τεκμηριωμένη διαδικασία απόκρισηςμε ενδεικτικές προθεσμίες, πιθανά αποτελέσματα, χρόνους αποκατάστασης και τρόπους αναγνώρισης της συμβολής του ερευνητή.
• Μια εσωτερική ροή εργασίας για την ανάλυση και τη διόρθωση ευπαθειώνεξετάζοντας επίσης τύπους συνεργασίας και, εάν είναι σκόπιμο, οικονομικές ή άλλες ανταμοιβές.
• Ένα σαφώς καθορισμένο πεδίο εφαρμογής: ποια περιουσιακά στοιχεία, συστήματα ή εφαρμογές περιλαμβάνονται στο πρόγραμμα και ποιες πρακτικές εξαιρούνται ρητά από τα επιτρεπόμενα.
• Ρητή δήλωση νομικών εγγυήσεων έτσι ώστε οι ερευνητικές δραστηριότητες που διεξάγονται στο πλαίσιο των κανόνων του προγράμματος να μην οδηγήσουν σε νομικές ενέργειες κατά του πληροφοριοδότη.

Με την εφαρμογή ενός VDP, ένας οργανισμός στέλνει επίσης ένα εξωτερικό μήνυμα: επιδεικνύει μια γνήσια δέσμευση για ασφάλεια και διαφάνεια προς τους πελάτες, τους επενδυτές και το κοινό . Επιπλέον, ενθαρρύνει την εποικοδομητική συνεργασία με την ερευνητική κοινότητα, ευθυγραμμίζοντας τα συμφέροντα όλων των μερών γύρω από την ανίχνευση και τον μετριασμό των απειλών.

Πώς ένα καλά διαχειριζόμενο VDP μειώνει το κόστος των περιστατικών ασφαλείας

Όταν συμβαίνει ένα περιστατικό κυβερνοασφάλειας, τα πιο ορατά κόστη είναι συνήθως τα άμεσα: απώλεια εσόδων λόγω διακοπής λειτουργίας, πληρωμές λύτρων, πρόστιμα και ζημία στη φήμη που επηρεάζει την εμπιστοσύνη των πελατών και των συνεργατών. Ωστόσο, υπάρχει ένα άλλο σύνολο κόστους που συχνά περνά απαρατήρητο: η εσωτερική προσπάθεια που απαιτείται για τη διαχείριση κάθε περιστατικού ή ευπάθειας.

Κάθε εισερχόμενη αναφορά απαιτεί από ένα ή περισσότερα άτομα να την εξετάσουν, να την τεκμηριώσουν, να αξιολογήσουν τη σοβαρότητά της, να διερευνήσουν πιθανές λύσεις, να την παρακολουθήσουν και να επαληθεύσουν τη διόρθωσή της . Αυτό περιλαμβάνει όχι μόνο την ομάδα IT ή ασφάλειας, αλλά και την εξυπηρέτηση πελατών, τους διευθυντές επιχειρήσεων, το νομικό προσωπικό ή ακόμα και την ανώτερη διοίκηση, ανάλογα με τη σοβαρότητα του προβλήματος.

Όταν δεν υπάρχει ομαλή διαδικασία για την αντιμετώπιση των τρωτών σημείων, προκύπτουν επικαλύψεις, σημεία συμφόρησης και καθυστερήσεις : οι αναφορές χάνονται, οι απαντήσεις φτάνουν καθυστερημένα, οι απογοητευμένοι ερευνητές καταλήγουν να δημοσιεύουν ελαττώματα χωρίς συντονισμό ή τα τρωτά σημεία παραμένουν ανοιχτά για περισσότερο χρόνο από το επιθυμητό.

Ένα καλά δομημένο VDP διασφαλίζει ότι κάθε αναφορά ακολουθεί μια αποτελεσματική και προβλέψιμη διαδρομή , από την αρχική παραλαβή έως την αποκατάσταση και, εάν είναι απαραίτητο, τη συντονισμένη δημόσια γνωστοποίηση. Αυτό μειώνει τον χρόνο που αφιερώνουν οι εργαζόμενοι σε επαναλαμβανόμενες ή ανοργάνωτες εργασίες και, ως εκ τούτου, μειώνει άμεσα το λειτουργικό κόστος που σχετίζεται με τη διαχείριση συμβάντων και ευπαθειών.

Επιπλέον, παρέχοντας γρήγορες και σαφείς απαντήσεις στους ερευνητές , αποφεύγονται καταστάσεις έντασης ή πρόωρες αποκαλύψεις που θα μπορούσαν να επιδεινώσουν τον αντίκτυπο μιας ευπάθειας. Με αυτόν τον τρόπο, το VDP λειτουργεί ως ενδιάμεσος παράγοντας μεταξύ των ευρημάτων τρίτων και της δημόσιας έκθεσης, κερδίζοντας χρόνο για την επηρεαζόμενη οντότητα να εφαρμόσει τα απαραίτητα διορθωτικά μέτρα.

Διαχειριζόμενα VDP από τρίτους: μειώστε το φόρτο εργασίας και αυξήστε την αποδοτικότητα

Στην πράξη, πολλοί οργανισμοί αναγνωρίζουν τη σημασία της ύπαρξης ενός VDP, αλλά οι ομάδες ασφαλείας τους είναι ήδη κατακλυσμένες από καθημερινές εργασίες : παρακολούθηση, αντιμετώπιση περιστατικών, συμμόρφωση με τους κανονισμούς, έργα ψηφιακού μετασχηματισμού κ.λπ. Για αυτούς, είναι δύσκολο να αφιερώσουν πρόσθετους πόρους στο σχεδιασμό, την εφαρμογή και τη διατήρηση ενός δυναμικού προγράμματος προσέγγισης.

Μια ολοένα και πιο συνηθισμένη επιλογή είναι η χρήση υπηρεσιών VDP που διαχειρίζονται εξειδικευμένοι πάροχοι . Πρόκειται για εταιρείες με εμπειρία σε δοκιμές διείσδυσης, διαχείριση τρωτών σημείων και συντονισμό με εξωτερικούς ερευνητές που χειρίζονται το πιο απαιτητικό μέρος της διαδικασίας.

Πλατφόρμες όπως η Synack, που δραστηριοποιούνται στον τομέα των δοκιμών διείσδυσης και της ελεγχόμενης επιθετικής ασφάλειας, προσφέρουν ολοκληρωμένα προγράμματα αποκάλυψης ευπαθειών , τα οποία μπορούν να περιλαμβάνουν τη λήψη και ταξινόμηση αναφορών, την τεχνική επαλήθευση ελαττωμάτων, την επικοινωνία με ερευνητές, την αναγνώριση της συνεισφοράς τους και την προετοιμασία μετρήσεων για αναφορές διαχείρισης.

Με αυτόν τον τρόπο, οι οργανισμοί μπορούν να παραμείνουν συνδεδεμένοι με την παγκόσμια κοινότητα κυβερνοασφάλειας , να επωφεληθούν από τις γνώσεις της και να διατηρήσουν μια συνεχή ροή πληροφοριών σχετικά με νέες απειλές, χωρίς να επιβαρύνουν δυσβάσταχτα τις εσωτερικές τους ομάδες.

Τελικά, τα VDPs —είτε εσωτερικά είτε διαχειριζόμενα από τρίτους— επιτρέπουν την ταχύτερη απεικόνιση του τοπίου των απειλών, την ιεράρχηση των προτεραιοτήτων ως προς το τι πρέπει να αντιμετωπιστεί πρώτα και τον συντονισμό της αντίδρασης πριν οι εισβολείς εκμεταλλευτούν τα τρωτά σημεία ασφαλείας. Αυτή η προσέγγιση ενθαρρύνει την επίσημη και συνεχή συνεργασία μεταξύ όλων των ενδιαφερόμενων μερών και βελτιώνει την ποιότητα των αποφάσεων διαχείρισης κινδύνου.

Βέλτιστες πρακτικές για υπεύθυνη αναφορά ευπαθειών

Πέρα από τον σχεδιασμό ενός VDP, είναι απαραίτητο να υπάρχει μια σαφής μεθοδολογία για την υπεύθυνη ειδοποίηση που να ορίζει χρονοδιαγράμματα και προσδοκίες για όλα τα μέρη. Ένα συνηθισμένο παράδειγμα είναι ο καθορισμός εύλογων χρονικών πλαισίων μεταξύ της αναφοράς μιας ευπάθειας και της δημοσιοποίησής της.

Σε πολλά προγράμματα, όταν λαμβάνεται μια προειδοποίηση και επιβεβαιώνεται ότι η ευπάθεια είναι πραγματική, η επηρεαζόμενη οντότητα ενημερώνεται αμέσως μέσω ασφαλών καναλιών επικοινωνίας, ώστε να έχει τον απαραίτητο χρόνο για να αναλύσει το ελάττωμα και να εφαρμόσει την αντίστοιχη λύση.

Είναι συνήθης πρακτική να ορίζεται ένα κατά προσέγγιση χρονικό πλαίσιο — για παράδειγμα, περίπου 45 ημέρες από την αρχική ειδοποίηση — για να διορθώσει ο οργανισμός το πρόβλημα. Σε ιδιαίτερα κρίσιμες περιπτώσεις, όπου η εκμετάλλευση θα μπορούσε να έχει πολύ σοβαρές επιπτώσεις, μπορεί να συμφωνηθεί μια επιπλέον περίοδος χάριτος, για παράδειγμα, δύο επιπλέον εβδομάδες ή ένα άλλο περιθώριο που θεωρείται εύλογο και από τα δύο μέρη.

Μόλις διορθωθεί η ευπάθεια, συνήθως πραγματοποιείται μια συντονισμένη αποκάλυψη , κατά την οποία τόσο ο ερευνητής όσο και η επηρεαζόμενη οντότητα μοιράζονται πληροφορίες με τρόπο που χρησιμεύει για τη μάθηση, τη βελτίωση και, ταυτόχρονα, την προστασία των τελικών χρηστών.

Εάν, από την άλλη πλευρά, η οντότητα αγνοεί επανειλημμένα τις ειδοποιήσεις ή δείχνει σαφή έλλειψη ενδιαφέροντος για τη διόρθωση της ευπάθειας, ορισμένα προγράμματα εξετάζουν την πιθανότητα δημοσιοποίησης της ευπάθειας για να ειδοποιήσουν όσους ενδεχομένως επηρεάζονται. Αυτό το μέτρο θεωρείται έσχατη λύση, αλλά χρησιμεύει ως τακτική πίεσης για να αποτραπεί η υποβάθμιση του κινδύνου.

Προγράμματα βοήθειας και προσέγγισης για πολίτες, επιχειρήσεις και ανηλίκους

Η ευαισθητοποίηση στον κυβερνοχώρο δεν περιορίζεται σε τεχνικά περιβάλλοντα: περιλαμβάνει επίσης υπηρεσίες που έχουν σχεδιαστεί για άτομα χωρίς προηγμένες γνώσεις διαδικτυακής ασφάλειας που χρειάζονται καθοδήγηση στην καθημερινή ψηφιακή τους ζωή. Στην Ισπανία, ένας από τους κορυφαίους οργανισμούς είναι το Εθνικό Ινστιτούτο Κυβερνοασφάλειας (INCIBE), το οποίο εφαρμόζει διάφορα προγράμματα που απευθύνονται σε πολίτες, επιχειρήσεις και ανηλίκους.

Μεταξύ αυτών είναι η υπηρεσία «Η Βοήθεια σας για την Κυβερνοασφάλεια» , ένας δωρεάν και εμπιστευτικός εθνικός πόρος που το INCIBE διαθέτει σε οποιονδήποτε έχει ερωτήσεις ή προβλήματα σχετικά με την ασφάλεια στο διαδίκτυο. Απευθύνεται σε τρεις κύριες ομάδες: γενικούς χρήστες, επιχειρήσεις και επαγγελματίες, και ανηλίκους και το δίκτυο υποστήριξής τους (οικογένειες, εκπαιδευτικούς και επαγγελματίες που ειδικεύονται στην προστασία των παιδιών στο διαδίκτυο).

Αυτή η υπηρεσία στελεχώνεται από μια διεπιστημονική ομάδα εμπειρογνωμόνων που προσφέρουν συμβουλές από διάφορες οπτικές γωνίες: τεχνικές, ψυχοκοινωνικές και νομικές. Ένα βασικό χαρακτηριστικό της είναι το διευρυμένο ωράριό της: είναι διαθέσιμη από τις 8 π.μ. έως τις 11 μ.μ., 365 ημέρες το χρόνο, γεγονός που την καθιστά έναν εξαιρετικά προσβάσιμο πόρο για επείγουσες καταστάσεις και επείγοντα ερωτήματα.

Η επικοινωνία γίνεται μέσω διαφόρων καναλιών που παρέχονται από το INCIBE, διευκολύνοντας την ασφαλή επικοινωνία προσαρμοσμένη στις ανάγκες κάθε χρήστη . Αυτή η προσβασιμότητα είναι το κλειδί για την ενθάρρυνση των πολιτών να αναζητήσουν βοήθεια σχετικά με απάτη, κλοπή ταυτότητας, κυβερνοεκφοβισμό, ζητήματα απορρήτου ή ερωτήσεις σχετικά με τις ρυθμίσεις ασφαλείας.

Το INCIBE προωθεί επίσης άλλες πρωτοβουλίες ενημέρωσης, εκπαίδευσης και υποστήριξης που επιδιώκουν να εμπλέξουν ολόκληρη την κοινωνία σε μια σταθερή κουλτούρα κυβερνοασφάλειας , κάτι απαραίτητο για τη μείωση της επιφάνειας επίθεσης που αντιπροσωπεύεται από μη ασφαλείς συμπεριφορές ή έλλειψη βασικών γνώσεων.

Πρόγραμμα CONFÍA του INCIBE: κουλτούρα κυβερνοασφάλειας και ψηφιακή εμπιστοσύνη

Μεταξύ των πιο φιλόδοξων πρωτοβουλιών είναι το πρόγραμμα CONFÍA του INCIBE , το οποίο έχει σχεδιαστεί για να ενισχύσει τόσο τις δυνατότητες κυβερνοασφάλειας όσο και την ψηφιακή εμπιστοσύνη μεταξύ πολιτών και επιχειρήσεων. Σκοπός του είναι η καλλιέργεια μιας γνήσιας, κοινής κουλτούρας κυβερνοασφάλειας συνδυάζοντας εκστρατείες ευαισθητοποίησης, εκπαίδευση, συνεργασία και ανάπτυξη συγκεκριμένων εργαλείων.

Το πρόγραμμα διαρθρώνεται γύρω από τέσσερις βασικούς πυλώνες. Ο πρώτος είναι οι δραστηριότητες ευαισθητοποίησης και επικοινωνίας , οι οποίες περιλαμβάνουν μαζικές εκστρατείες που απευθύνονται σε πολίτες, ανηλίκους και τον επιχειρηματικό τομέα, καθώς και εκδηλώσεις και δραστηριότητες με φυσική παρουσία ή σε τοπικό επίπεδο σε συνεργασία με τις Αυτόνομες Κοινότητες.

Η δεύτερη εστίαση είναι η εκπαίδευση στην κυβερνοασφάλεια , μέσω της ανάπτυξης προγραμμάτων κατάρτισης και συγκεκριμένων πόρων για τη βελτίωση των ψηφιακών δεξιοτήτων σε αυτόν τον τομέα. Στόχος είναι η παροχή ποικίλων προφίλ —από προσωπικό ΜΜΕ έως οικογένειες— με περιεχόμενο προσαρμοσμένο στις συγκεκριμένες περιστάσεις τους.

Ένας τρίτος τομέας περιστρέφεται γύρω από τη συνεργασία και τον συντονισμό , μέσω διμερών και πολυμερών συμφωνιών που αποσκοπούν στην εδραίωση αυτής της κουλτούρας κυβερνοασφάλειας, στη βελτίωση της διαχείρισης συμβάντων και στην οικοδόμηση ενός ισχυρού δικτύου σχετικών φορέων στο ψηφιακό οικοσύστημα.

Η τέταρτη εστίαση είναι σε εργαλεία και λύσεις κυβερνοασφάλειας , προωθώντας την ανάπτυξη και την υιοθέτηση τεχνολογιών ειδικά σχεδιασμένων για ανηλίκους, το ευρύ κοινό και τις επιχειρήσεις. Αυτές οι λύσεις στοχεύουν στη διευκόλυνση της προστασίας στην πράξη, ξεπερνώντας τη θεωρία.

Όλες αυτές οι δράσεις αναπτύσσονται μέσω των διαφόρων υπηρεσιών και μηχανισμών του INCIBE, εστιάζοντας στα τρία κύρια κοινά-στόχους του: Επιχειρήσεις, Πολίτες και Ανήλικους . Το CONFÍA περιλαμβάνει επίσης βελτιώσεις στις υπηρεσίες απόκρισης της Γραμμής Βοήθειας για την Κυβερνοασφάλεια 017 και την ενίσχυση των μηχανισμών απόκρισης σε περιστατικά μέσω του INCIBE-CERT , του κορυφαίου κέντρου απόκρισης σε περιστατικά κυβερνοασφάλειας.

Ενεργητική Κυβερνοασφάλεια: εξειδικευμένες συμβουλευτικές υπηρεσίες για ΜΜΕ

Πέρα από τη γενική ευαισθητοποίηση, πολλές μικρές και μεσαίες επιχειρήσεις (ΜΜΕ) χρειάζονται πολύ πιο συγκεκριμένη υποστήριξη για να αξιολογήσουν την κατάστασή τους και να σχεδιάσουν βελτιώσεις . Για την αντιμετώπιση αυτής της ανάγκης , έχει ξεκινήσει το Activa Ciberseguridad , ένα εξειδικευμένο και εξατομικευμένο συμβουλευτικό πρόγραμμα που απευθύνεται σε ΜΜΕ, ιδίως σε εκείνες του βιομηχανικού τομέα.

Το πρόγραμμα αυτό διαρθρώνεται ως συμβουλευτική υπηρεσία στον τομέα της κυβερνοασφάλειας, την οποία διαχειρίζεται η Γενική Γραμματεία Βιομηχανίας και ΜΜΕ (SGIPYME), οι Αυτόνομες Κοινότητες και η EOI , και χρηματοδοτείται μέσω των Ταμείων του Μηχανισμού Ανάκαμψης και Ανθεκτικότητας ή/και της δημοσιονομικής εφαρμογής της SGIPYME του Υπουργείου Βιομηχανίας και Τουρισμού.

Η βοήθεια χορηγείται με τη μορφή υποστήριξης σε είδος, σε μη ανταγωνιστική βάση , ακολουθώντας τη σειρά παραλαβής των αιτήσεων και για όσο διάστημα παραμένουν διαθέσιμα κεφάλαια. Το ποσό ανά δικαιούχο είναι 2.140 € και η ίδια η εταιρεία επιλέγει την εταιρεία συμβούλων —μεταξύ εκείνων που έχουν εγκριθεί μέσω Συμφωνίας-Πλαισίου— που θα παρέχει την υπηρεσία.

Το πρόγραμμα απευθύνεται σε ΜΜΕ με δική τους νομική προσωπικότητα στην Ισπανία, νόμιμα συσταθείσες και δεόντως εγγεγραμμένες . Το περιεχόμενό του περιλαμβάνει 20 ώρες συμβουλευτικής από κορυφαίους συμβούλους, διάγνωση και έλεγχο κυβερνοασφάλειας , ανάπτυξη ενός εξατομικευμένου Σχεδίου Κυβερνοασφάλειας και θεματικά εργαστήρια για την εφαρμογή των προτεινόμενων μέτρων.

Το Activa Ciberseguridad αποτελεί μέρος της Εθνικής Στρατηγικής Συνδεδεμένης Βιομηχανίας 4.0 , η οποία στοχεύει στην αύξηση της βιομηχανικής προστιθέμενης αξίας, στην προώθηση της εξειδικευμένης απασχόλησης και στην ενίσχυση της ανάπτυξης ιδιόκτητων ψηφιακών λύσεων. Στόχος του είναι να επιτρέψει στις ΜΜΕ να κατανοήσουν το πραγματικό επίπεδο ασφάλειάς τους και να σχεδιάσουν ένα σχέδιο βελτίωσης προσαρμοσμένο στους πόρους και τις προτεραιότητές τους.

Κατά γενικό κανόνα, το πρόγραμμα διαρκεί περίπου τέσσερις μήνες ανά δικαιούχο εταιρεία , κατά τη διάρκεια των οποίων πραγματοποιούνται ατομικές συναντήσεις στα κεντρικά γραφεία της ΜΜΕ, τεχνικοί έλεγχοι και εξ αποστάσεως εργασία από τον σύμβουλο, εκτός από εργαστήρια ευαισθητοποίησης σχετικά με τη σημασία της ενσωμάτωσης της κυβερνοασφάλειας στην επιχειρηματική στρατηγική.

Πλαίσιο για τη βοήθεια, τη διακυβέρνηση και τη διυπουργική συνεργασία

Οι επιχορηγήσεις που σχετίζονται με το Activa Ciberseguridad χορηγούνται σε μη ανταγωνιστική βάση σε ΜΜΕ , σύμφωνα με τις διατάξεις του Διατάγματος ICT/819/2022 της 12ης Αυγούστου (Επίσημη Εφημερίδα της Κυβερνήσεως της 25ης Αυγούστου 2022). Οι εθνικές προσκλήσεις υποβολής προτάσεων περιγράφουν λεπτομερώς τις προθεσμίες, τις συγκεκριμένες απαιτήσεις, τις διαδικασίες υποβολής αιτήσεων και τους όρους επιχορήγησης, επιτρέποντας στις ενδιαφερόμενες εταιρείες να σχεδιάσουν τη συμμετοχή τους.

Το πρόγραμμα αποτελεί μέρος του Προγράμματος Δυνατοτήτων Ανάπτυξης ΜΜΕ , το οποίο ενσωματώνεται στη Συνιστώσα 13 του Σχεδίου Ανάκαμψης, Μετασχηματισμού και Ανθεκτικότητας. Μοιράζεται τον χώρο με άλλες πρωτοβουλίες όπως η Activa Crecimiento και η Activa Industria 4.0, και έχει συνολικό προϋπολογισμό 101 εκατομμυρίων ευρώ με στόχο την υποστήριξη περίπου 11.000 ΜΜΕ.

Ο διυπουργικός χαρακτήρας αυτού του πλαισίου ενισχύει τη σημασία της κυβερνοασφάλειας ως στρατηγικού μοχλού για την ανταγωνιστικότητα και τον ψηφιακό μετασχηματισμό . Σε αυτό το πλαίσιο, η συνεργασία του INCIBE είναι επίσης αξιοσημείωτη, καθώς συνεισφέρει πόρους και εμπειρογνωμοσύνη για την παροχή πρόσθετης υποστήριξης.

Για παράδειγμα, το Εθνικό Ινστιτούτο Κυβερνοασφάλειας προσφέρει στις επιχειρήσεις μια δωρεάν γραμμή βοήθειας για την κυβερνοασφάλεια: 017 , η οποία είναι επίσης διαθέσιμη σε πολίτες, γονείς, ανηλίκους και εκπαιδευτικούς. Ερωτήσεις μπορούν να υποβάλλονται κάθε μέρα του χρόνου, συμπεριλαμβανομένων των αργιών, από τις 9:00 π.μ. έως τις 21:00 μ.μ., διευκολύνοντας την άμεση επικοινωνία με ειδικούς.

Επιπλέον, το INCIBE και η Google προσφέρουν ένα δωρεάν MOOC που απευθύνεται σε ΜΜΕ με τίτλο «Προστατέψτε την επιχείρησή σας: Κυβερνοασφάλεια στην τηλεργασία» , το οποίο βοηθά στην κατανόηση των απειλών που σχετίζονται με νέες μορφές συνδεσιμότητας και στη θέσπιση ασφαλών πολιτικών τηλεργασίας σύμφωνα με τις νομικές απαιτήσεις και τις απαιτήσεις προστασίας δεδομένων.

Πρωτοβουλίες κυβερνοσυνεργασίας και κοινωνικής ευαισθητοποίησης

Η οικοδόμηση μιας ασφαλούς ψηφιακής κοινωνίας δεν εξαρτάται μόνο από τους νόμους και τις τεχνολογίες, αλλά και από τη συμμετοχή εθελοντών, ενώσεων, επιχειρήσεων και εκπαιδευτικών ιδρυμάτων . Σε αυτόν τον τομέα, το πρόγραμμα Cyber-Cooperators του INCIBE έχει καθιερωθεί ως ένα εξαιρετικό παράδειγμα συμμετοχής των πολιτών στην προώθηση της κυβερνοασφάλειας.

Αυτό το πρόγραμμα, το οποίο επικεντρώνεται στο να κάνει την κυβερνοασφάλεια πιο προσβάσιμη στο κοινό μέσω ομιλιών, εργαστηρίων και δραστηριοτήτων ενημέρωσης, έχει πάνω από 500 συνεργάτες σε όλη την Ισπανία. Το έργο του έχει αναγνωριστεί με βραβεία, όπως το βραβείο Καλύτερου Έργου Ψηφιακής Ιθαγένειας στον εορτασμό της 20ής επετείου της Παγκόσμιας Ημέρας Διαδικτύου.

Χάρη σε αυτούς τους συνεργάτες στον κυβερνοχώρο, βασικά μηνύματα ψηφιακής ασφάλειας μεταφέρονται σε σχολεία, συλλόγους, μικρές επιχειρήσεις και ευάλωτες ομάδες , προσαρμοσμένα σε απλή και προσιτή γλώσσα. Αυτό το έργο συμπληρώνει μεγαλύτερα θεσμικά προγράμματα, ενισχύοντας την πολιτισμική αλλαγή από την αρχή.

Παράλληλα, αναπτύσσονται έργα όπως το +Cybersecurity , τα οποία προωθούνται από κοινού από το INCIBE, το Ίδρυμα CEOE, το CEOE, το CEIM και με τη συνεργασία της Πολιτοφυλακής, της Εθνικής Αστυνομίας και του Ιδρύματος Hermes. Πρόκειται για μια εθνική πρωτοβουλία που επιδιώκει να ενισχύσει την ανθεκτικότητα του παραγωγικού τομέα μέσω της κατάρτισης, της ευαισθητοποίησης και της συνεργασίας μεταξύ δημόσιων και ιδιωτικών φορέων.

Εκδηλώσεις όπως αυτές που πραγματοποιούνται στα κεντρικά γραφεία του CEIM φέρνουν σε επαφή επιχειρηματικούς ηγέτες, ειδικούς και θεσμικούς εκπροσώπους για να θέσουν την ψηφιακή προστασία στο επίκεντρο της επιχειρηματικής στρατηγικής , να ανταλλάξουν βέλτιστες πρακτικές και να συντονίσουν τις προσπάθειες ενάντια στις αυξανόμενες απειλές.

Στρατηγικές και δράσεις της Ευρωπαϊκής Ένωσης στον τομέα της κυβερνοασφάλειας

Σε υπερεθνικό επίπεδο, η Ευρωπαϊκή Ένωση έχει καθορίσει μια Στρατηγική Κυβερνοασφάλειας με στόχο την ενίσχυση της συλλογικής ασφάλειας και της ικανότητας αντίδρασης των κρατών μελών της. Η ιδέα είναι σαφής: η ψηφιακή μετάβαση θα είναι επιτυχής μόνο εάν οι πολίτες και οι επιχειρήσεις μπορούν να επωφεληθούν από τις νέες τεχνολογίες χωρίς να θέσουν σε κίνδυνο την ασφάλειά τους.

Η ευρωπαϊκή στρατηγική οργανώνεται γύρω από τρεις κύριους τομείς δράσης. Ο πρώτος επικεντρώνεται στην ανθεκτικότητα, την τεχνολογική κυριαρχία και την ηγεσία , με στόχο τη μείωση των κρίσιμων εξαρτήσεων στην Ευρώπη και την ανάπτυξη των δικών της δυνατοτήτων για την προστασία των βασικών υποδομών και υπηρεσιών της.

Η δεύτερη εστίαση είναι στην επιχειρησιακή ικανότητα πρόληψης, αποτροπής και αντιμετώπισης κυβερνοεπιθέσεων, στην ενίσχυση της συνεργασίας μεταξύ κρατών, στη βελτίωση της κοινής πληροφόρησης και στην ανάπτυξη συντονισμένων αμυντικών ικανοτήτων στον κυβερνοχώρο.

Η τρίτη συνιστώσα επικεντρώνεται στη διεθνή συνεργασία σε έναν παγκόσμιο και ανοιχτό κυβερνοχώρο , προωθώντας ένα σταθερό και ασφαλές Διαδίκτυο όπου το κράτος δικαίου, τα ανθρώπινα δικαιώματα και οι δημοκρατικές αξίες γίνονται σεβαστά.

Η ΕΕ εργάζεται επίσης για την ενίσχυση των δυνατοτήτων κυβερνοασφάλειας και τον συντονισμό αποτελεσματικών δράσεων προς όφελος των πολιτών της . Η κυβερνοασφάλεια αποτελεί βασικό πυλώνα του Προγράμματος Ψηφιακή Ευρώπη, το οποίο χρηματοδοτεί έργα για την αύξηση της ανθεκτικότητας έναντι των κυβερνοεπιθέσεων και τη βελτίωση του συντονισμού μεταξύ των κρατών μελών.

Τον Νοέμβριο του 2020, η Επιτροπή και η Ύπατη Εκπρόσωπος παρουσίασαν κοινή ανακοίνωση σχετικά με τη νέα πολιτική της ΕΕ για την κυβερνοάμυνα , με στόχο τη βελτίωση της συνεργασίας και των επενδύσεων σε αυτόν τον τομέα και την παροχή ισχυρότερης προστασίας από την αύξηση των επιθέσεων. Προγραμματίζεται ετήσια παρακολούθηση της προόδου, μαζί με την ανάπτυξη λεπτομερούς σχεδίου εφαρμογής σε συνεργασία με τα κράτη μέλη.

Ευρωπαϊκό σχέδιο δράσης για την ενίσχυση της κυβερνοασφάλειας στον τομέα της υγειονομικής περίθαλψης

Ένας από τους τομείς που είναι πιο ευάλωτοι σε κυβερνοεπιθέσεις είναι η υγειονομική περίθαλψη. Στις 15 Ιανουαρίου 2025, η Ευρωπαϊκή Επιτροπή ξεκίνησε ένα συγκεκριμένο σχέδιο δράσης για την ενίσχυση της κυβερνοασφάλειας των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης, σύμφωνα με τις προτεραιότητες της εντολής της για την περίοδο 2024-2029.

Αυτό το σχέδιο στοχεύει στη βελτίωση της ανίχνευσης απειλών, της ετοιμότητας και της αντιμετώπισης κυβερνοκρίσεων στον τομέα της υγειονομικής περίθαλψης. Για τον σκοπό αυτό, έχουν σχεδιαστεί μέτρα για την παροχή καθοδήγησης, εργαλείων, υπηρεσιών και εκπαίδευσης προσαρμοσμένων στις συγκεκριμένες ανάγκες των νοσοκομείων και άλλων παρόχων υγειονομικής περίθαλψης.

Καθ' όλη τη διάρκεια του 2025 και του 2026, θα αναληφθούν συγκεκριμένες δράσεις σε συνεργασία με τα κράτη μέλη, τον τομέα της υγειονομικής περίθαλψης και την κοινότητα της κυβερνοασφάλειας . Αυτή είναι η πρώτη τομεακή πρωτοβουλία για την εφαρμογή, με ολοκληρωμένο τρόπο, του πλήρους φάσματος των μέτρων κυβερνοασφάλειας της ΕΕ που εφαρμόζονται σε έναν συγκεκριμένο και ιδιαίτερα κρίσιμο τομέα για τους πολίτες.

Στην πράξη, αυτό σημαίνει ενίσχυση των πρωτοκόλλων, των συστημάτων, των τεχνολογικών υποδομών και των ανθρώπινων δυνατοτήτων των νοσοκομείων και των υπηρεσιών υγείας, ώστε να μπορούν να αντέχουν καλύτερα σε επιθέσεις που επιχειρούν να κλέψουν κλινικά δεδομένα, να παραλύσουν υπηρεσίες ή να χειραγωγήσουν ιατρικά συστήματα.

Το σύνολο των προγραμμάτων και στρατηγικών που περιγράφονται —VDP, γραμμές βοήθειας, σχέδια εκπαίδευσης, πρωτοβουλίες συνεργασίας και ευρωπαϊκά πλαίσια— σκιαγραφεί ένα οικοσύστημα στο οποίο η κυβερνοασφάλεια αντιμετωπίζεται ως μια κοινή προσπάθεια μεταξύ ιδρυμάτων, εταιρειών, επαγγελματιών και πολιτών, με τη διάδοση και τη συνεργασία ως κεντρικά εργαλεία για την πρόβλεψη απειλών.