Σε μια περίοδο κατά την οποία οι κυβερνοεπιθέσεις αποτελούν πλέον επιχειρηματικό κίνδυνο και όχι απλώς ένα ζήτημα που αφορά τα τμήματα πληροφορικής, η ThermicSol απέκτησε την πιστοποίηση ISO 27001 για τη διαχείριση της ασφάλειας πληροφοριών.
Για τη βιομηχανία, το ζήτημα αποκτά διαφορετικές διαστάσεις, καθώς η αυξανόμενη διασύνδεση συστημάτων και λειτουργιών μεταφέρει τον κίνδυνο πέρα από το ΙΤ. Ένα περιστατικό ασφαλείας μπορεί να επηρεάσει τις παραγγελίες, την αποθήκη, τις προμήθειες και τις παραδόσεις και, ανάλογα με το σύστημα που πλήττεται, να φτάσει μέχρι την ίδια την παραγωγική διαδικασία.
Με την πιστοποίηση ISO 27001, η ThermicSol οργανώνει σε ενιαίο πλαίσιο τον τρόπο με τον οποίο διαχειρίζεται την ασφάλεια των πληροφοριών, από τον έλεγχο πρόσβασης σε δεδομένα και συστήματα και τη διαχείριση των αντιγράφων ασφαλείας έως την αντιμετώπιση πιθανών περιστατικών και την εκπαίδευση του προσωπικού. Πρόκειται για πεδία που αποκτούν ολοένα μεγαλύτερη σημασία καθώς οι απειλές μεταβάλλονται και ο ανθρώπινος παράγοντας παραμένει κρίσιμος κρίκος στην αλυσίδα της κυβερνοασφάλειας.
Η κίνηση αποκτά πρόσθετη σημασία λόγω της εξαγωγικής δραστηριότητας της εταιρείας. Οι διεθνείς συνεργασίες συνεπάγονται καθημερινή ανταλλαγή οικονομικών στοιχείων, παραγγελιών, αρχείων και επιχειρηματικών δεδομένων, ενώ ολοένα περισσότεροι μεγάλοι οργανισμοί ζητούν από προμηθευτές και συνεργάτες να μπορούν να αποδείξουν ότι εφαρμόζουν συγκεκριμένες πολιτικές και διαδικασίες για την ασφάλεια των πληροφοριών.
Σύμφωνα με την εταιρεία, η ThermicSol είναι η πρώτη επιχείρηση του κλάδου της που αποκτά την πιστοποίηση ISO 27001. Η εξέλιξη συνδέεται παράλληλα με το νέο ευρωπαϊκό περιβάλλον που διαμορφώνει η NIS2, η οποία διευρύνει τις απαιτήσεις κυβερνοασφάλειας και φέρνει στο επίκεντρο ζητήματα όπως η διαχείριση κινδύνων, η αντιμετώπιση περιστατικών και η επιχειρησιακή συνέχεια.
Με αφορμή την πιστοποίηση της ThermicSol με ISO 27001, ο κ. Λάμπρος Βεράκης, Chief Information Security Officer της εταιρείας, μιλά στο Insider.gr για το τι αλλάζει στην πράξη για την επιχείρηση, τους πελάτες και τους συνεργάτες της, τους κινδύνους που αντιμετωπίζει σήμερα μια βιομηχανική εταιρεία, αλλά και τις νέες απαιτήσεις που φέρνει η NIS2.
Ακολουθεί η συνέντευξη που παραχώρησε ο κ. Λάμπρος Βεράκης, ChiefInformation Security Officer (CISO/ΥΑΣΠΕ) της ThermicSol στο Insider.gr:
Η ThermicSol έλαβε την πιστοποίηση ISO 27001. Τι σημαίνει πρακτικά αυτή η πιστοποίηση για την εταιρεία και τι χρειάστηκε να αλλάξει σε επίπεδο διαδικασιών και οργάνωσης για την απόκτησή της;
Απάντηση: Το ISO 27001 για εμάς ήταν ουσιαστικά μια ευκαιρία να δούμε συνολικά πώς διαχειριζόμαστε την ασφάλεια μέσα στην εταιρεία και να βάλουμε κάποια πράγματα σε ακόμα καλύτερη σειρά.
Δεν ξεκινήσαμε φυσικά από το μηδέν. Υπήρχαν ήδη αρκετά μέτρα και συστήματα ασφαλείας. Αυτό που χρειάστηκε ήταν να οργανώσουμε καλύτερα όλο αυτό το κομμάτι, να καταγράψουμε διαδικασίες και ευθύνες και να είμαστε σίγουροι ότι υπάρχει συγκεκριμένος τρόπος αντιμετώπισης για κάθε περίπτωση.
Για παράδειγμα, από το ποιος έχει πρόσβαση σε συγκεκριμένα δεδομένα και πώς κρατάμε τα αντίγραφα ασφαλείας μας, μέχρι το τι κάνουμε αν εντοπίσουμε ένα ύποπτο περιστατικό.
Το σημαντικότερο όμως για μένα είναι ότι η ασφάλεια άρχισε να γίνεται περισσότερο μέρος της καθημερινότητας της εταιρείας και όχι κάτι που αφορά αποκλειστικά τα τεχνικά συστήματα και τους ανθρώπους που τα διαχειρίζονται. Γιατί τελικά μπορεί να έχεις πολύ καλά συστήματα ασφαλείας, αλλά χρειάζεται και ο άνθρωπος που τα χρησιμοποιεί καθημερινά να γνωρίζει τι πρέπει να προσέχει.
Τι αλλάζει για τους πελάτες και τους συνεργάτες της ThermicSol; Με ποιον τρόπο η εφαρμογή του ISO 27001 ενισχύει στην πράξη την προστασία των πληροφοριών και των δεδομένων που ανταλλάσσονται στο πλαίσιο μιας συνεργασίας;
Απάντηση: Νομίζω ότι το βασικό για έναν συνεργάτη μας είναι ότι γνωρίζει πως υπάρχει πλέον ένας συγκεκριμένος και ελεγχόμενος τρόπος με τον οποίο διαχειριζόμαστε τις πληροφορίες που μας εμπιστεύεται.
Στην καθημερινότητά του μπορεί να μη δει κάποια μεγάλη αλλαγή. Αυτό που αλλάζει βρίσκεται κυρίως από πίσω, ποιος μπορεί να έχει πρόσβαση σε μια πληροφορία, πώς προστατεύεται, πού αποθηκεύεται, τι αντίγραφα ασφαλείας υπάρχουν και τι γίνεται αν προκύψει κάποιο πρόβλημα.
Και θεωρώ σημαντικό να είμαστε ρεαλιστές σε αυτό το θέμα. Δεν υπάρχει εταιρεία που μπορεί να πει ότι δεν πρόκειται ποτέ να δεχθεί μια κυβερνοεπίθεση. Αυτό που μπορείς να κάνεις είναι να έχεις πάρει τα κατάλληλα μέτρα ώστε να μειώσεις όσο γίνεται τον κίνδυνο και, αν κάτι τελικά συμβεί, να το αντιληφθείς γρήγορα και να ξέρεις ακριβώς πώς θα αντιδράσεις.
Αυτή τη σιγουριά θεωρώ ότι προσφέρει τελικά και το ISO 27001 στους ανθρώπους που συνεργάζονται μαζί μας.
Για μια βιομηχανική επιχείρηση, η κυβερνοασφάλεια δεν αφορά πλέον μόνο τα πληροφοριακά συστήματα, αλλά μπορεί να συνδέεται και με την ίδια τη λειτουργία και την παραγωγή. Ποιοι είναι σήμερα οι σημαντικότεροι κίνδυνοι και πώς προετοιμάζεται η ThermicSol απέναντί τους;
Απάντηση: Εδώ νομίζω ότι τα πράγματα έχουν αλλάξει αρκετά τα τελευταία χρόνια. Σε μια βιομηχανική εταιρεία ένα περιστατικό κυβερνοασφάλειας μπορεί πλέον να επηρεάσει άμεσα τη λειτουργία της.
Αν για παράδειγμα δεν λειτουργεί το ERP, αν δεν υπάρχει πρόσβαση στα αρχεία ή σε συστήματα που υποστηρίζουν την παραγωγή, ή αν ένα περιστατικό κυβερνοασφάλειας επηρεάσει κρίσιμες υποδομές ή διασυνδεδεμένο εξοπλισμό, το πρόβλημα πολύ γρήγορα παύει να είναι απλώς ένα τεχνικό ζήτημα. Μπορεί να επηρεάσει τις παραγγελίες, την αποθήκη, τις προμήθειες, τις παραδόσεις και, ανάλογα με το σύστημα που έχει επηρεαστεί, ακόμα και την ίδια την παραγωγική διαδικασία.
Οι απειλές που μας απασχολούν περισσότερο είναι το ransomware, το phishing, η παραβίαση εταιρικών λογαριασμών και γενικότερα ο ανθρώπινος παράγοντας.
Η δική μας λογική είναι να έχουμε διαφορετικά επίπεδα προστασίας. Να προστατεύουμε τους υπολογιστές και το δίκτυό μας, να παρακολουθούμε τι συμβαίνει στα συστήματά μας, να έχουμε σωστά αντίγραφα ασφαλείας και κυρίως να ελέγχουμε ότι αυτά τα αντίγραφα μπορούν πραγματικά να χρησιμοποιηθούν όταν τα χρειαστούμε.
Από εκεί και πέρα δίνουμε αρκετή σημασία στην ενημέρωση του προσωπικού. Γιατί ένα πολύ μεγάλο ποσοστό των επιθέσεων ξεκινά από κάτι τόσο απλό όσο ένα email που φαίνεται αληθινό.
Δεν θεωρούμε λοιπόν ότι μπορούμε να μηδενίσουμε τον κίνδυνο. Αυτό που προσπαθούμε είναι να είμαστε όσο το δυνατόν καλύτερα προετοιμασμένοι.
Η ThermicSol έχει αναπτύξει σημαντική εξαγωγική δραστηριότητα και παρουσία σε πολλές χώρες. Πόσο σημαντικό είναι πλέον ένα ισχυρό πλαίσιο ασφάλειας πληροφοριών για μια ελληνική εταιρεία που διευρύνει τις διεθνείς συνεργασίες της και εισέρχεται σε νέες αγορές;
Απάντηση: Όσο μεγαλώνει μια εταιρεία και ανοίγεται σε περισσότερες αγορές, θεωρώ ότι η ασφάλεια γίνεται αναπόφευκτα όλο και πιο σημαντική.
Όταν συνεργάζεσαι με εταιρείες στο εξωτερικό, ανταλλάσσεις καθημερινά πληροφορίες, οικονομικά στοιχεία, παραγγελίες, αρχεία και γενικότερα δεδομένα που πρέπει να προστατεύονται.
Παράλληλα βλέπουμε ότι όλο και περισσότεροι μεγάλοι οργανισμοί ζητούν από τους συνεργάτες τους να μπορούν να αποδείξουν ότι ακολουθούν συγκεκριμένες πρακτικές ασφάλειας. Δεν αρκεί πλέον να πεις «έχουμε antivirus και backup». Θέλουν να γνωρίζουν ότι υπάρχει μια συνολική διαδικασία πίσω από αυτά.
Σε αυτό το κομμάτι το ISO 27001 θεωρώ ότι μας βοηθάει αρκετά. Είναι ένα διεθνώς αναγνωρισμένο πρότυπο και ένας συνεργάτης στο εξωτερικό μπορεί πολύ εύκολα να καταλάβει τι σημαίνει.
Παράλληλα, είναι ιδιαίτερα σημαντικό για εμάς ότι η Thermic Sol είναι η πρώτη εταιρεία στον κλάδο μας που προχωρά στην πιστοποίηση ISO 27001. Είναι κάτι που μας κάνει ιδιαίτερα περήφανους και θεωρώ ότι αποτυπώνει τη γενικότερη φιλοσοφία μας ως εταιρεία, να επενδύουμε ουσιαστικά στην ασφάλεια των πληροφοριών και την κυβερνοασφάλεια και να μη μένουμε απλώς στις απαιτήσεις της εποχής, αλλά να προσπαθούμε να είμαστε ένα βήμα μπροστά από αυτές.
Για εμάς λοιπόν δεν είναι μόνο θέμα εικόνας προς τα έξω. Είναι και ένας τρόπος να είμαστε σίγουροι ότι όσο μεγαλώνει η Thermic Sol, μεγαλώνει μαζί της και η δυνατότητά μας να προστατεύουμε σωστά την εταιρεία και τις πληροφορίες της, αλλά και τις πληροφορίες και τα δεδομένα που μας εμπιστεύονται καθημερινά οι πελάτες και οι συνεργάτες μας.
Η ευρωπαϊκή οδηγία NIS2 ανεβάζει τον πήχη για την κυβερνοασφάλεια των επιχειρήσεων. Τι αλλάζει για τις ελληνικές εταιρείες και ποιες θεωρείτε ότι είναι οι βασικές προκλήσεις προσαρμογής στις νέες απαιτήσεις;
Απάντηση: Η NIS2, κατά τη γνώμη μου, αλλάζει κυρίως τον τρόπο με τον οποίο πρέπει να βλέπουν οι επιχειρήσεις την κυβερνοασφάλεια.
Για αρκετά χρόνια υπήρχε η λογική ότι η κυβερνοασφάλεια είναι κυρίως ένα τεχνικό ζήτημα. Πλέον δεν είναι έτσι. Είναι ένα θέμα που αφορά τη διοίκηση, τους ανθρώπους που έχουν την ευθύνη για την ασφάλεια των πληροφοριών και συνολικά τη λειτουργία μιας επιχείρησης.
Και νομίζω ότι εκεί θα βρίσκεται και η μεγαλύτερη δυσκολία για αρκετές ελληνικές εταιρείες. Όχι τόσο στο να αγοράσουν ένα ακόμη πρόγραμμα ασφαλείας, αλλά στο να οργανώσουν σωστά όσα ήδη έχουν και να δημιουργήσουν συγκεκριμένες διαδικασίες.
Πρέπει να ξέρεις τι θέλεις να προστατεύσεις, ποιοι είναι οι κίνδυνοι, ποιος έχει πρόσβαση πού, τι θα κάνεις αν αύριο συμβεί ένα περιστατικό και πώς θα συνεχίσει να λειτουργεί η εταιρεία αν ένα βασικό σύστημα τεθεί εκτός λειτουργίας.
Και όλα αυτά δεν αρκεί απλώς να υπάρχουν γραμμένα σε ένα αρχείο. Πρέπει να εφαρμόζονται και να ελέγχονται στην πράξη.
Εμείς στην Thermic Sol, έχουμε επιλέξει να δούμε το ISO 27001 και τη NIS2 σαν κομμάτια της ίδιας προσπάθειας. Όχι σαν κάτι που πρέπει απλώς να ολοκληρώσουμε για να είμαστε τυπικά εντάξει, αλλά σαν μια διαδικασία που θα συνεχίσει να εξελίσσεται μαζί με την εταιρεία.
