Του Γιάννη Ιωάννου
To βράδυ της Δευτέρας, το υφυπουργείο Καινοτομίας ανακοίνωσε πως οι κυβερνητικές ιστοσελίδες της ΚΔ τέθηκαν εκτός λειτουργίας εξαιτίας μιας διαρροής νερού στο χώρο που φιλοξενούνται οι σχετικοί servers επί του κτιρίου του υπουργού Οικονομικών. Μια… υδραυλική διαρροή είχε θέσει εκτός λειτουργίας κρίσιμες κρατικές υποδομές με το υφυπουργείο να ανακοινώνει, επισήμως σήμερα, πως τα εν λόγω συστήματα «είχαν τοποθετηθεί με τρόπο που βρίσκονταν εκτεθειμένα σε πιθανό ατύχημα». Μπορεί στα ΜΚΔ να στήθηκε ένα πάρτι σάτιρας για το εν λόγω συμβάν αλλά το πράγμα, εκτός από αστείο, είναι και σοβαρό αν αναλογιστεί κανείς πως την ίδια ημέρα, ο επίσημος λογαριασμός της Αρχής Ηλεκτρισμού Κύπρου (ΑΗΚ), δημοσίευσε στο Twitter επίσκεψη σε… κρίσιμη υποδομή ηλεκτροδότησης της Λευκωσίας. Δείχνοντας ευαίσθητες εγκαταστάσεις δημοσίως και με τους επισκέπτες, από διάφορους φορείς, να μην φέρουν όλοι κράνος ασφάλειας.
Ο Υπουργός και ο Γενικός Διευθυντής του Υπουργείου Ενέργειας, Εμπορίου και Βιομηχανίας (@cyMECI), το Διοικητικό Συμβούλιο της ΡΑΕΚ καθώς και ο Διαχειριστής Συστήματος Μεταφοράς Κύπρου επισκέφτηκαν σήμερα κρίσιμο Υποσταθμό Μεταφοράς στην περιοχή Λευκωσίας.
— Electricity Authority of Cyprus (@eac_cy) April 10, 2023
1/2 pic.twitter.com/I0njWCxAk8
Στη Κύπρο που συχνά μιλάμε με τεχνογνωσιακούς όρους όπως η κυβερνοασφάλεια, η καινοτομία, η ανάλυση-εκτίμηση ρίσκου, η προσέλκυση επενδύσεων σε τομείς νέας τεχνολογίας, υποδομές όπως το Κτηματολόγιο, τα Πανεπιστημιακά μας Ιδρύματα ή οι κυβερνητικές διαδικτυακές πύλες πέφτουν συχνά τελευταίως θύματα κυβερνοεπιθέσεων ή αποτυχιών του συστήματος επειδή κάποιος αποφάσισε να περάσει σωληνώσεις νερού ή ντεπόζιτα δίπλα από… servers. Και μιλάμε για μια χώρα στην οποία επαγγελματίες στρατιωτικοί σκοτώνονται από οχήματα που τουμπάρουν, βιώνουμε αρκετά εργατικά ατυχήματα, μια ολόκληρη ναυτική, στρατιωτική, βάση ανατινάχθηκε στον αέρα το 2011 με τραγικές συνέπειες και καθημερινά θρηνούμε θύματα στους δρόμους -σε σωρεία αυξανόμενων τροχαίων ατυχημάτων.
Πριν συζητήσουμε συνεπώς για cloud-first πολιτικές, DR (Disaster Recovery), BCP (Business Continuity Plan), RA (Risk Assessment) κι ένα σωρό όρους που ακούγονται αρκετά «εξωτικοί» για τον μέσο πολίτη ας θέσουμε, ξανά στο επίκεντρο της συζήτησης στην δημόσια σφαίρα, την κουλτούρα ασφάλειας -που στη Κύπρο αγνοείται ακόμη και σε βασικές πτυχές της νοοτροπίας μας στον δημόσιο ή ιδιωτικό τομέα.
Μια απλή τυποποίηση κουλτούρας ασφάλειας στο επίπεδο ενός εργαζόμενου (PPE/Personal Protective Equipment). Εργάζεσαι, πχ στον οικοδομικό τομέα, φορώντας γάντια, κράνος, παπούτσια ασφάλειας και, εν γένει, προστατευτικό εξοπλισμό που θα σε προφυλάξει από την έκθεση σε θανατηφόρους κινδύνους της δουλειάς
Κουλτούρα ασφάλειας
Ένας γενικά αποδεκτός ορισμός της κουλτούρας ασφάλειας (“security culture”) εδράζεται, τα τελευταία χρόνια, στο «η κουλτούρα ασφάλειας είναι ένα σύνολο κανόνων, πεποιθήσεων, αξιών, στάσεων και παραδοχών που είναι εγγενείς στην καθημερινή λειτουργία ενός οργανισμού και αντανακλώνται από τις ενέργειες και τις συμπεριφορές όλων των οντοτήτων και του προσωπικού εντός του οργανισμού. Η ασφάλεια πρέπει να είναι, συνεπώς, ευθύνη όλων». Βέβαια ως όρος εφαρμόζεται διαφορετικά για κάθε έκφανση επαγγελματισμού από την πληροφορική και την κυβερνοασφάλεια μέχρι την πυρόσβεση, την οδηγική συμπεριφορά, το εργασιακό περιβάλλον -δημόσιο ή ιδιωτικό, τις ένοπλες δυνάμεις και κάθε έκφανση ασφάλειας ακόμη και στην καθημερινή ζωή ή τις DIY ασχολίες ενός νοικοκυριού.
Στη Κύπρο συχνά βλέπουμε αποτυχίες του συστήματος οι οποίες δεν εδράζονται πχ στην τεχνογνωσιακή τους φύση (πχ και μια κρίσιμη κρατική υποδομή μιας μεγαλύτερης από τη Κύπρο χώρας μπορεί, επίσης, να πέσει θύμα κυβερνοεπίθεσης) αλλά στην έλλειψη κουλτούρας ασφάλειας σε συμπεριφορικό επίπεδο. Αρκεί κανείς να δει ένα εργοτάξιο, τον μέσο δρόμο με κίνηση ή ορκωμοσίες νεοσύλλεκτων -όπου κάποιος φωνάζει δυνατά τα πλήρη στοιχεία των παραβρισκόμενων στρατιωτών, σε χώρα που τελεί υπό στρατιωτική κατοχή. Πέραν των εν λόγω αποτυχιών η λογική του OPSEC (Operations Security) αλλά και ενός σετ γενικών κανόνων ως προς την πρόσληψη και την κατανόηση της ασφάλειας σαν μιας ολιστικής έννοιας, συχνά, απουσιάζουν. Και βλέπουμε, με μεγαλύτερη συχνότητα, όχι μόνο να αυξάνονται οι απειλές -κάθε είδους και σε κάθε τομέα- αλλά να αυξάνεται και δυσανάλογα η πολιτική επικοινωνία που δίνει έμφαση στην ανάρτηση μιας εικόνας ή στην επικοινωνία μιας δήλωσης έναντι της αποτελεσματικότητας και -σημαντικότερα- στην εμπέδωση μιας κουλτούρας ασφάλειας που οφείλει να καλλιεργηθεί οριζοντίως και παντού.
To «παγόβουνο» που βουλιάζει την οργανωτική αλλαγή (που συχνά είναι και θεσμική) λόγω της διαφοράς μεταξύ του τρόπου που λέμε πως κάνουμε κάτι και του πραγματικού τρόπου με τον οποίο κάνουμε κάτι αποτελεσματικά. Η ενδιάμεση απόσταση είναι η κουλτούρα ασφάλειας, δηλαδή να βάλουμε τους servers σε ένα κυβερνητικό κτίριο σε τοποθεσία που δεν θα κινδυνεύουν από πχ διαρροή νερού
Ουσία όχι επικοινωνία
Μια κουλτούρα ασφάλειας στη Κύπρο θα σήμαινε αλλαγές σε όλα τα επίπεδα του επαγγελματικού βίου και δη στα επίπεδα της γενικής στάσης, της συμπεριφοράς, της γνώσης, της επικοινωνίας, της συμμόρφωσης, των κανόνων και των ευθυνών. Όλα επίπεδα ανθρώπινης συμπεριφοράς και στάσης έναντι της συζήτησης για τεχνολογική πρόοδο. Η ασφάλεια σαν ολιστική έννοια δοκιμάζει καθημερινά όχι μόνο την αποτελεσματικότητα ή την διαχείριση κρίσεων απέναντι σε ένα έκτακτο γεγονός ή κατάσταση αλλά και το που στεκόμαστε, συνολικά, ως κοινωνία. Σε μια χώρα, που πρέπει να το επαναλαμβάνουμε, τελεί υπό κατοχή. Η νέα κυβέρνηση έχει λάβει όρους εντολής για να διαχειριστεί τεράστιες προκλήσεις ασφάλειας σε πολλαπλά επίπεδα -πέραν του εθνικού θέματος. Οι τελευταίες εβδομάδες με πολλαπλά περιστατικά που δείχνουν προς την κατεύθυνση της έλλειψης κουλτούρας ασφάλειας ας χτυπήσουν τα σχετικά καμπανάκια καθώς εισερχόμαστε, σταδιακά, στην τουριστική περίοδο. Και σε μια περίοδο που ορθώς αποφασίστηκε η σύσταση Συμβουλίου Εθνικής Ασφάλειας (ΣΕΑ).
