Η ολοένα αυξανόμενη χρήση των εργαλείων της Πληροφορικής στην καθημερινότητα των επιχειρήσεων έχει καταστήσει το Πληροφοριακό Σύστημα του κάθε οργανισμού ως ένα από τα πολυτιμότερα assets του. Κρίσιμες διεργασίες για κάθε επιχείρηση βρίσκονται εγκατεστημένες και υποστηρίζονται από αυτό, ενώ ταυτόχρονα νέες λειτουργίες και δυνατότητες προσφέρονται μέσω της διαδικασίας του Ψηφιακού Μετασχηματισμού που ακολουθείται από τις επιχειρήσεις.

Προτεραιότητα η Ασφάλεια

Σε ένα τέτοιο δυναμικό περιβάλλον, πρώτιστο μέλημα των τμημάτων Πληροφορικής είναι η ασφάλεια των δεδομένων και των υποδομών από κακόβουλες επιθέσεις. Το κυβερνοέγκλημα έχει αποκτήσει πλέον κολοσσιαίες διαστάσεις παγκοσμίως και ολοένα και περισσότεροι οργανισμοί γίνονται στόχοι επιθέσεων που συχνά καταλήγουν σε καταστροφικά αποτελέσματα. Παρά τις επενδύσεις σε λογισμικά απόκρουσης τέτοιων επιθέσεων και σε αυστηρότερες διαδικασίες ελέγχου και ασφάλειας των συστημάτων, κανείς δεν μπορεί να αποκλείσει την πιθανότητα κάποιας επιτυχημένης κυβερνοεπίθεσης. Αυτό το γεγονός έχει καταστήσει αναγκαία όσο ποτέ τη διενέργεια προσομοίωσης επίθεσης στα συστήματα του οργανισμού, ώστε να δοκιμαστούν σε πραγματικές συνθήκες οι άμυνές του και να προσδιοριστούν τα κενά ασφαλείας που υπάρχουν.

Πολιτικές Ασφάλειας – Ασκήσεις Ετοιμότητας

Στη ΜΕΒΓΑΛ, η Διεύθυνση Πληροφορικής έχει επεξεργαστεί ένα πλήρες πλάνο βάσει του οποίου έχουν καταρτιστεί τα μέσα και οι στρατηγικές που διέπουν την ασφάλεια των συστημάτων της. Πέρα από την πολιτική backup που έχει θεσπιστεί και ακολουθείται απαρέγκλιτα, έχουν δημιουργηθεί διαδικασίες disaster recovery ώστε οι κρίσιμες υποδομές να μπορέσουν να επαναλειτουργήσουν σχετικά άμεσα σε περίπτωση που τεθούν οι κύριες υποδομές εκτός λειτουργίας. Συγκεκριμένα, συστήματα που παίζουν πρωταρχικό ρόλο στην εύρυθμη λειτουργία της επιχείρησης, όπως το κεντρικό ERP και τα περιφερειακά του συστήματα, αλλά και λοιπές εφαρμογές που υποστηρίζουν τη παραγωγική διαδικασία, έχουν αποκτήσει το διαδικτυακό αντίγραφό τους στο cloud με το οποίο συγχρονίζονται σχεδόν άμεσα. Μία φορά τον χρόνο, πραγματοποιείται άσκηση διακοπής της λειτουργίας του κάθε  συστήματος, μέσω της οποίας ελέγχεται η disaster recovery υποδομή τόσο για την αρτιότητα των δεδομένων που περιλαμβάνει, όσο και για το εάν θα καταστεί λειτουργική εντός του χρονικού διαστήματος που έχει τεθεί ως στόχος. Τα σενάρια επιθέσεων που δοκιμάζονται κατά τη διάρκεια αυτών των επιθέσεων ποικίλουν και βάσει αυτών ενεργοποιούνται οι κατάλληλες διαδικασίες αντιμετώπισης των συγκεκριμένων επιθέσεων. Μέσα από τις ασκήσεις ετοιμότητας αυτές, δοκιμάζονται τόσο τα συστήματα που έχουν υλοποιηθεί για την προστασία του Πληροφοριακού Συστήματος, όσο και οι άνθρωποι μέσω των ρόλων που έχουν ανατεθεί στον καθένα σε μία τέτοια περίπτωση. Κάνοντας χρήση των συμπερασμάτων που προκύπτουν, επικαιροποιούνται οι διαδικασίες ασφάλειας, ενώ ταυτόχρονα εξετάζονται και περαιτέρω μέτρα με βάση τις τεχνολογικές εξελίξεις και την εμπειρία από ανάλογα συμβάντα σε άλλες επιχειρήσεις.

Συνεχής Εκπαίδευση Προσωπικού

Ο παράγοντας άνθρωπος είναι πολύ κρίσιμος για την επίτευξη του επιθυμητού επιπέδου ασφάλειας στο Πληροφοριακό Σύστημα. Είναι πλέον κοινά αποδεκτό ότι κανένα μέτρο ασφάλειας δεν είναι αρκετό, αν το προσωπικό της επιχείρησης δεν συνειδητοποιήσει τους κινδύνους που ελλοχεύουν και την υπευθυνότητα με την οποία θα πρέπει να διαχειρίζεται τα εργαλεία του Πληροφοριακού Συστήματος. Στη ΜΕΒΓΑΛ αποδίδουμε μεγάλη σημασία στην ευαισθητοποίηση των εργαζομένων σε ζητήματα ασφάλειας και στην εκπαίδευσή τους πάνω σε αυτά. Ένα από τα μέτρα που έχουν υιοθετηθεί και λειτουργούν με επιτυχία είναι εκείνο της αποστολής παραπλανητικών μηνυμάτων (phishing e-mails) σε όλους τους εργαζομένους, ώστε να ελεγχθούν οι αντιδράσεις τους. Τα μηνύματα αυτά δημιουργούνται από ειδικό λογισμικό που έχει προμηθευτεί η Διεύθυνση Πληροφορικής και μοιάζουν πάρα πολύ με τα πραγματικά phishing e-mails που συχνά φθάνουν στα mailboxes του καθενός από εμάς. Σε περίπτωση που ο εργαζόμενος – παραλήπτης του μηνύματος λειτουργήσει λανθασμένα κατά την παραλαβή του μηνύματος, το πρόγραμμα τον ενημερώνει για το σφάλμα του και στη συνέχεια τον υποχρεώνει να παρακολουθήσει ένα ειδικό εκπαιδευτικό βίντεο στο οποίο επεξηγούνται αναλυτικά οι κίνδυνοι από τέτοιου είδους μηνύματα, καθώς και η ενδεδειγμένη αντίδραση του παραλήπτη τους σε αυτά.  Τέτοιου είδους προσομοιώσεις επιθέσεων πραγματοποιούνται τουλάχιστον δύο φορές το χρόνο (προφανώς χωρίς οι χρήστες να το γνωρίζουν ή να έχουν προειδοποιηθεί) και έχει αποδειχθεί ότι το επίπεδο ευαισθητοποίησης των χρηστών έχει βελτιωθεί και οι λανθασμένες αποφάσεις κατά τη λήψη παρόμοιων μηνυμάτων έχουν μειωθεί σημαντικά.