Του Γιώργου Παναγιωτόπουλου
(Καθηγητής, Αντιπρύτανης Πανεπιστημίου Πατρών)
Η κυβερνοεπίθεση που σημειώθηκε στο Ελληνικό Ανοικτό Πανεπιστήμιο, κατά το προηγούμενο διάστημα, δεν αποτελεί μεμονωμένο περιστατικό. Δεν πρόκειται για ένα τεχνικό πρόβλημα αλλά για μια κρίσιμη ένδειξη ενός συστημικού κενού.
Είναι σύμπτωμα ενός βαθύτερου διαρθρωτικού προβλήματος, της θεσμικής και χρηματοδοτικής υποτίμησης της κυβερνοασφάλειας σε πανεπιστήμια και δημόσιους οργανισμούς. Τα προσωπικά δεδομένα φοιτητών/τριών και προσωπικού, τα ακαδημαϊκά στοιχεία τους, ακόμη και οικονομικές ή διοικητικές πληροφορίες παραβιάστηκαν με ευκολία.
Ποιος μπορεί πλέον να ισχυριστεί ότι πρόκειται για «εξαίρεση στον κανόνα»;
Μάλλον, η εξαίρεση φαίνεται να είναι ο κανόνας. Η κανονικότητα είναι η έλλειψη. Ανεπαρκείς πόροι, γερασμένες δικτυακές υποδομές, απουσία εθνικού στρατηγικού σχεδίου και, κυρίως, μια οριζόντια αδυναμία να αντιληφθούμε την ασφάλεια ως σταθερή δημόσια επένδυση.
Πόσα ακόμη περιστατικά θα χρειαστούν για να αντιμετωπιστεί η κυβερνοασφάλεια όχι ως τεχνικό υποσημείωμα αλλά ως πυλώνας λειτουργίας του κράτους;
Τα ερωτήματα συσσωρεύονται:
Πώς μπορεί το πανεπιστήμιο του 21ου αιώνα να παρέχει ποιοτική εκπαίδευση όταν τα πληροφοριακά συστήματά του λειτουργούν χάριν πρωτοβουλιών και φιλότιμων προσπαθειών των διοικήσεων και των εργαζομένων;
Γιατί η ασφάλεια των δεδομένων αντιμετωπίζεται ως δευτερεύουσα λειτουργία του κράτους;
Τι εμποδίζει τη δημιουργία ενός εθνικού πλαισίου υποχρεωτικής χρηματοδότησης για την κυβερνοασφάλεια, διακριτού από άλλες γενικές δαπάνες;
Η σημερινή κατάσταση δείχνει ότι το πρόβλημα δεν είναι τεχνικό. Είναι πολιτικό.
Όχι επειδή η τεχνολογία λείπει, αλλά επειδή οι επιλογές προτεραιοτήτων αποφεύγουν συστηματικά να επενδύσουν σε ό, τι δε «φαίνεται».
Αλήθεια, πόσο ελκυστικό είναι για μια κυβέρνηση να διαθέσει κονδύλια σε συστήματα διάγνωσης απειλών και σε «αόρατους» μηχανισμούς προστασίας, όταν μπορεί να προβάλει θεαματικά την εφαρμογή μιας νέας πλατφόρμας;
Όμως οι ψηφιακές υποδομές, αν μείνουν απροστάτευτες, δεν είναι πρόοδος. Είναι εθνικός κίνδυνος.
Η ενίσχυση της προσβασιμότητας, η απλοποίηση των υπηρεσιών, η αυτοματοποίηση των διαδικασιών είναι πραγματικά επιτεύγματα μόνο εφόσον συνοδεύονται από αντίστοιχη ενίσχυση της ασφάλειας.
Τα πανεπιστήμια αποτελούν έναν από τους πιο εκτεθειμένους και ταυτόχρονα πιο ευάλωτους θεσμούς. Χειρίζονται ευαίσθητα δεδομένα, ερευνητικές πληροφορίες, πνευματική ιδιοκτησία, προσωπικά στοιχεία φοιτητών/τριών και διδασκόντων, διοικητικά και οικονομικά αρχεία. Και όλα αυτά σε ένα περιβάλλον που, συχνά, βασίζεται σε αποσπασματικά έργα πληροφορικής, χωρίς θεσμική συνέχεια, χωρίς διαρκή υποστήριξη.
Τι κονδύλια διατίθενται από την πολιτεία σήμερα για την κυβερνοασφάλεια στα πανεπιστήμια;
Ποια έχουν επαρκή εξειδικευμένο προσωπικό σε θέματα ασφάλειας πληροφοριακών συστημάτων;
Πόσα εξαρτώνται αποκλειστικά από την «καλή θέληση» ολιγομελών ομάδων πληροφορικής που λειτουργούν στα όρια της εξουθένωσης;
Αλλά και πέρα από τα πανεπιστήμια:
Πόσοι δήμοι έχουν υλοποιήσει τα ενδεδειγμένα μέτρα προστασίας για τα δίκτυά τους;
Πόσα νοσοκομεία μπορούν να αντέξουν ψηφιακή επίθεση χωρίς να καταρρεύσει η λειτουργία τους;
Ποια υπουργεία έχουν χαρτογραφήσει τις κρίσιμες υποδομές τους με βάση την κυβερνοαπειλή και όχι απλώς την οργανωτική ευκολία;
Η αλήθεια είναι ότι στο μεγαλύτερο μέρος του Δημοσίου η έννοια της κυβερνοασφάλειας παραμένει αόριστη, θεωρητική και γραφειοκρατική.
Υπάρχουν κείμενα, οδηγίες, νομοθεσία αλλά η πραγματική υλοποίηση είναι αδύνατη χωρίς ένα σταθερό χρηματοδοτικό πλαίσιο. Χωρίς μόνιμους μηχανισμούς επένδυσης.
Τι χρειάζεται;
Δημόσια επένδυση με σαφή προορισμό. Ξεχωριστά κονδύλια για την ασφάλεια των πληροφοριακών συστημάτων σε κάθε δημόσιο οργανισμό.
Θεσμική κατοχύρωση. Υποχρέωση των φορέων να προβλέπουν και να υλοποιούν σχέδια ασφάλειας με συγκεκριμένα όμως χρηματοδοτικά εργαλεία από την πολιτεία.
Στελέχωση. Πρόσληψη εξειδικευμένου προσωπικού στην κυβερνοασφάλεια και όχι μόνο εξωτερικές αναθέσεις που λήγουν χωρίς συνέχεια.
Λογοδοσία. Όταν συμβεί μία επίθεση, να υπάρχει σαφής αποτύπωση του τι δεν έγινε και γιατί, όχι σιωπή και ευχολόγια.
Ενιαίος συντονισμός. Ένα εθνικό όργανο με ρόλο καθοδήγησης, παρακολούθησης και πραγματικής υποστήριξης όλων των δημοσίων φορέων.
Νέα πολιτική αντίληψη, ότι η κυβερνοασφάλεια είναι δημόσιο αγαθό.
Η εμπιστοσύνη των πολιτών στο κράτος δεν εξαρτάται μόνο από την ταχύτητα ανταπόκρισης μιας πλατφόρμας. Εξαρτάται από το αν, την επόμενη μέρα μιας επίθεσης, τα δεδομένα τους θα είναι ασφαλή ή εκτεθειμένα. Εξαρτάται από το αν υπάρχει κράτος πριν τη ζημιά, όχι μόνο μετά.
Η πολιτική ηγεσία δεν μπορεί πλέον να κρύβεται πίσω από την τεχνική φύση του ζητήματος.
Όταν η προστασία των κρίσιμων ψηφιακών υποδομών παραμένει χωρίς σταθερό προγραμματισμό, όταν οι φορείς του Δημοσίου καλούνται να αντιμετωπίσουν σύνθετες κυβερνοαπειλές με μέσα του χθες, τότε η ευθύνη δεν είναι υπηρεσιακή, είναι ξεκάθαρα πολιτική.
Η επιλογή να μην κατοχυρωθεί θεσμικά η κυβερνοασφάλεια ως εθνική προτεραιότητα, φανερώνει όχι απλώς αδιαφορία αλλά μια επικίνδυνη ασυμμετρία. Επενδύουμε στη βιτρίνα της ψηφιακής μετάβασης, ενώ αφήνουμε ανοχύρωτο τον μηχανισμό που τη στηρίζει.
Η κυβερνοασφάλεια κοστίζει αλλά η απουσία της κοστίζει πολύ περισσότερο.
