Γιατί η σύγκλιση της ασφάλειας αλλάζει τη διαχείριση κινδύνου

Σε μια εποχή όπου τα όρια του φυσικού με τον ψηφιακό κόσμο συγκλίνουν ολοένα και περισσότερα η διαχείριση των κινδύνων μετασχηματίζεται προς ένα ενοποιημένο μοντέλο με τη σύγκλιση της ασφάλειας να απαιτεί κουλτούρα συνεργασία και διευρυμένο πεδίο τεχνογνωσίας 

Του Χρήστου Κοτσακά

Το παλιό μοντέλο ασφάλειας είχε μια βολική, σχεδόν καθησυχαστική απλότητα. Από τη μία πλευρά βρίσκονταν τα πληροφοριακά συστήματα, οι χρήστες, οι servers, τα δίκτυα και τα δεδομένα. Από την άλλη βρίσκονταν οι κάμερες, οι πόρτες, οι κάρτες πρόσβασης, οι αισθητήρες, τα βιομηχανικά συστήματα και οι εγκαταστάσεις. Κάθε κόσμος είχε τη δική του ομάδα, τη δική του γλώσσα, το δικό του budget και τις δικές του προτεραιότητες. Σήμερα, αυτή η διάκριση μοιάζει όλο και περισσότερο με οργανωτική συνήθεια παρά με πραγματική εικόνα του κινδύνου. Η σύγκλιση της ασφάλειας μετατρέπει το κτίριο, το εργοστάσιο, το cloud, τον προμηθευτή και την ταυτότητα του χρήστη σε μέρη της ίδιας αλυσίδας.

Αυτό που αλλάζει, λοιπόν, ξεπερνά την τεχνολογία. Αγγίζει τον τρόπο με τον οποίο ένας οργανισμός αντιλαμβάνεται την έκθεση, την ευθύνη και τη λειτουργική του συνέχεια. Ένα σύστημα ελέγχου πρόσβασης μπορεί να συνδέεται με εταιρική ταυτότητα χρήστη. Μια κάμερα μπορεί να στέλνει δεδομένα σε cloud υπηρεσία. Ένας τεχνικός συνεργάτης μπορεί να συνδέεται απομακρυσμένα σε εξοπλισμό πεδίου. Ένα σύστημα κλιματισμού ή κτιριακού αυτοματισμού μπορεί να αποτελεί μέρος της επιχειρησιακής λειτουργίας και όχι απλώς υποστηρικτική υποδομή. Σε αυτό το περιβάλλον, το ρίσκο παύει να περιορίζεται στο σημείο όπου ξεκίνησε. Η αλυσίδα εξαρτήσεων αποκτά μεγαλύτερη σημασία από το μεμονωμένο σύστημα.

Από την τεχνική σύνδεση στην επιχειρησιακή συνέπεια

Η σύγκλιση φυσικής ασφάλειας, κυβερνοασφάλειας, OT, IoT και cloud συστημάτων προέκυψε συχνά μέσα από πρακτικές επιλογές και όχι από ένα ενιαίο στρατηγικό σχέδιο. Μια απομακρυσμένη πρόσβαση για ευκολότερη υποστήριξη, μια πλατφόρμα cloud για καλύτερη διαχείριση βίντεο, μια ενοποίηση ταυτοτήτων για πιο γρήγορη είσοδο σε κτίρια και συστήματα, μια εφαρμογή analytics για καλύτερη λειτουργική εικόνα. Καθεμία από αυτές τις επιλογές μπορεί να έχει επιχειρησιακή λογική. Όλες μαζί, όμως, δημιουργούν ένα νέο περιβάλλον, όπου η τεχνική διασύνδεση παράγει επιχειρησιακή συνέπεια.

Το πιο κρίσιμο σημείο βρίσκεται στην πολλαπλασιαστική επίδραση των σχέσεων εμπιστοσύνης. Ένας οργανισμός μπορεί να γνωρίζει πόσες κάμερες έχει, πόσους servers λειτουργεί ή ποιοι χρήστες έχουν πρόσβαση σε κρίσιμες εφαρμογές. Πολύ συχνά, όμως, η πιο δύσκολη ερώτηση είναι άλλη: ποιος εμπιστεύεται ποιον, μέσω ποιας διαδρομής, με ποια δικαιώματα και με ποια δυνατότητα ελέγχου. Η κάρτα εισόδου, ο λογαριασμός ενός εξωτερικού συνεργάτη, το λογισμικό συντήρησης, το API μιας πλατφόρμας και ένα απομακρυσμένο σημείο σύνδεσης μπορούν να συνθέτουν την ίδια επιφάνεια κινδύνου. Εκεί εμφανίζεται η νέα επιφάνεια επίθεσης.

Σε ένα παραδοσιακό μοντέλο IT, η παραβίαση ενός λογαριασμού ή μιας εφαρμογής οδηγούσε κυρίως σε απώλεια δεδομένων, διακοπή υπηρεσίας ή οικονομική απάτη. Σε ένα συγκλίνον περιβάλλον, το ίδιο αρχικό γεγονός μπορεί, υπό συγκεκριμένες συνθήκες, να επηρεάσει φυσικές λειτουργίες: πρόσβαση σε χώρους, ορατότητα χειριστών, λειτουργία εξοπλισμού, διαδικασίες παραγωγής ή παροχή υπηρεσιών. Αυτό δεν σημαίνει ότι κάθε κυβερνοεπίθεση οδηγεί σε φυσικό αποτέλεσμα. Σημαίνει ότι ο οργανισμός οφείλει να εξετάζει νωρίς το πιθανό πέρασμα από το ψηφιακό στο επιχειρησιακό πεδίο. Η συνέπεια του συμβάντος γίνεται πιο σημαντική από την αρχική τεχνική κατηγορία του.

Η εμπειρία των τελευταίων ετών δείχνει την κατεύθυνση. Η υπόθεση Colonial Pipeline το 2021 ανέδειξε πώς ένα ransomware συμβάν, με κύρια στόχευση πληροφοριακά συστήματα και όχι άμεση μόλυνση OT, μπορεί να οδηγήσει σε προληπτικό shutdown υποδομής με σοβαρό επιχειρησιακό και κοινωνικό αποτύπωμα. Το περιστατικό Collins Aerospace το 2025 έδειξε αντίστοιχα πώς μια διατάραξη σε τρίτο τεχνολογικό πάροχο μπορεί να επηρεάσει ηλεκτρονικό check-in, παράδοση αποσκευών και επιβίβαση σε μεγάλα αεροδρόμια. Οι τεχνικές λεπτομέρειες διαφέρουν, αλλά το μάθημα παραμένει κοινό. Η λειτουργική συνέχεια δεν προστατεύεται μόνο με firewalls, ούτε μόνο με κάμερες, ούτε μόνο με διαδικασίες φυσικής πρόσβασης.

Το ρίσκο κρύβεται στα σημεία σύνδεσης

Η μεγαλύτερη παγίδα της σύγκλισης βρίσκεται στα σημεία που κανείς δεν θεωρεί πλήρως δικά του. Το IT κοιτάζει τους χρήστες, τα endpoints, τις εφαρμογές και το cloud. Η φυσική ασφάλεια κοιτάζει χώρους, κάμερες, αναγνώστες καρτών και ελέγχους εισόδου. Οι ομάδες εγκαταστάσεων παρακολουθούν ενέργεια, κλιματισμό, πρόσβαση τεχνικών και λειτουργία κτιρίου. Οι μηχανικοί OT έχουν ως προτεραιότητα τη διαθεσιμότητα και την ασφαλή λειτουργία της παραγωγής. Οι προμηθευτές φροντίζουν τη δική τους υπηρεσία. Ανάμεσα σε όλα αυτά, όμως, υπάρχουν διαδρομές που συχνά μένουν μερικώς ορατές. Εκεί βρίσκεται το αόρατο ενδιάμεσο στρώμα.

Η απομακρυσμένη πρόσβαση αποτελεί χαρακτηριστικό παράδειγμα. Είναι χρήσιμη, συχνά αναγκαία και σε ορισμένες περιπτώσεις κρίσιμη για την υποστήριξη συστημάτων. Παράλληλα, όταν λειτουργεί χωρίς σαφή δικαιώματα, χωρίς ισχυρή ταυτοποίηση, χωρίς καταγραφή και χωρίς περιορισμό στο απολύτως αναγκαίο, μπορεί να γίνει μία από τις πιο ευάλωτες διαδρομές προς κρίσιμα περιβάλλοντα. Το ίδιο ισχύει για κοινά διαπιστευτήρια, λογαριασμούς υπηρεσιών, παλιές συνδέσεις VPN, ξεχασμένες εξαιρέσεις firewall και πλατφόρμες που προστέθηκαν για λόγους ευκολίας. Σε πλαίσια όπως το NIST SP 800-82 και το ISA/IEC 62443, η πρόσβαση σε OT και βιομηχανικά περιβάλλοντα αντιμετωπίζεται ως κρίσιμο σημείο ελέγχου. Η ευκολία υποστήριξης μπορεί να μετατραπεί σε μόνιμο επιχειρησιακό ρίσκο.

Το cloud προσθέτει άλλη μια διάσταση. Οι υπηρεσίες βίντεο, οι πλατφόρμες φυσικής πρόσβασης, οι εφαρμογές διαχείρισης κτιρίων και τα εργαλεία ανάλυσης δεδομένων αξιοποιούν όλο και περισσότερο cloud υποδομές. Αυτό μπορεί να προσφέρει ευελιξία, κεντρική διαχείριση και καλύτερη παρακολούθηση. Χρειάζεται όμως προσοχή στο ποιος έχει πρόσβαση, πού αποθηκεύονται τα δεδομένα, πώς γίνεται η διαχείριση των δικαιωμάτων, ποιες εξαρτήσεις δημιουργούνται και πώς αντιδρά ο οργανισμός σε περίπτωση διακοπής ή παραβίασης τρίτου παρόχου. Η cloud εξάρτηση πρέπει να αντιμετωπίζεται ως μέρος της συνολικής αρχιτεκτονικής κινδύνου.

Ακόμη πιο σύνθετη είναι η περίπτωση των συστημάτων OT και κτιριακού αυτοματισμού. Πολλά από αυτά σχεδιάστηκαν για μεγάλη διάρκεια ζωής, σταθερότητα και διαθεσιμότητα, όχι για ένα περιβάλλον συνεχούς διασύνδεσης. Μπορεί να χρησιμοποιούν παλαιότερα πρωτόκολλα, να υποστηρίζουν περιορισμένες δυνατότητες καταγραφής ή να απαιτούν προσεκτική συντήρηση, επειδή μια λανθασμένη παρέμβαση επηρεάζει την παραγωγή ή τη λειτουργία μιας εγκατάστασης. Όταν αυτά τα συστήματα συνδέονται με εταιρικά δίκτυα, απομακρυσμένη πρόσβαση ή cloud υπηρεσίες, η παλαιά τεχνική κληρονομιά αποκτά νέο βάρος.

Το τεχνικό χρέος γίνεται διοικητικό ζήτημα

Το τεχνικό χρέος υπήρχε πάντα. Στη νέα πραγματικότητα, όμως, η επίδρασή του διευρύνεται. Ένα παλιό σύστημα που λειτουργούσε απομονωμένα μπορούσε να θεωρηθεί διαχειρίσιμος περιορισμός. Το ίδιο σύστημα, όταν συνδέεται με ταυτότητες, προμηθευτές, απομακρυσμένες υπηρεσίες ή δεδομένα επιχειρησιακής ανάλυσης, παύει να είναι απλώς τεχνικό θέμα. Μπορεί να επηρεάσει ασφάλεια, συμμόρφωση, συνέχεια λειτουργίας, ασφαλιστική κάλυψη, φήμη και κόστος αποκατάστασης. Η διοικητική διάσταση του τεχνικού χρέους γίνεται πιο εμφανής.

Αυτό δεν σημαίνει ότι οι οργανισμοί μπορούν να αντικαταστήσουν μαζικά κάθε παλαιό σύστημα. Στη βιομηχανία, στις μεταφορές, στην ενέργεια, στα μεγάλα κτίρια και στις κρίσιμες υποδομές, οι κύκλοι ζωής του εξοπλισμού είναι μεγάλοι και η αλλαγή απαιτεί σχεδιασμό. Η σωστή συζήτηση αφορά την ιεράρχηση. Ποια συστήματα είναι κρίσιμα για τη λειτουργία; Ποιες διασυνδέσεις δημιουργούν τη μεγαλύτερη έκθεση; Ποιοι προμηθευτές έχουν πρόσβαση; Πού απαιτούνται αντισταθμιστικά μέτρα, όπως τμηματοποίηση δικτύου, περιορισμένα δικαιώματα, παρακολούθηση και ξεκάθαρες διαδικασίες επέμβασης; Η ιεράρχηση κινδύνου αποκτά μεγαλύτερη αξία από μια γενική λίστα ευπαθειών.

Οι προμήθειες γίνονται επίσης εργαλείο ασφάλειας. Η επιλογή μιας κάμερας, ενός συστήματος πρόσβασης, μιας πλατφόρμας κτιριακού αυτοματισμού ή ενός βιομηχανικού εξοπλισμού δεν μπορεί να βασίζεται μόνο στην τιμή, στις λειτουργίες και στη συμβατότητα. Πρέπει να εξετάζεται η δυνατότητα ενημερώσεων ασφαλείας, η διαχείριση ταυτοτήτων, η καταγραφή ενεργειών, η τεκμηρίωση, η υποστήριξη από τον προμηθευτή, οι όροι cloud υπηρεσιών και η συμπεριφορά του προϊόντος σε περίπτωση διακοπής. Η ασφάλεια στην προμήθεια μειώνει ρίσκα που αλλιώς παραμένουν για χρόνια μέσα στον οργανισμό.

Εδώ χρειάζεται και κανονιστική ακρίβεια. Το NIS2 αφορά κυρίως οντότητες και υπηρεσίες που εμπίπτουν στο πεδίο εφαρμογής του, ενισχύοντας τη λογική της διαχείρισης κινδύνου, της επιχειρησιακής συνέχειας, της ασφάλειας εφοδιαστικής αλυσίδας και της ευθύνης διοίκησης. Ο Cyber Resilience Act κινείται από διαφορετική αφετηρία, καθώς αφορά προϊόντα με ψηφιακά στοιχεία και τη λογική ασφαλούς σχεδίασης, ενημέρωσης και διαχείρισης ευπαθειών στον κύκλο ζωής τους. Συνδυαστικά, όμως, τα δύο πλαίσια πιέζουν προς την ίδια κατεύθυνση: πιο σοβαρό vendor management, πιο ώριμες τεχνικές απαιτήσεις και καλύτερη τεκμηρίωση επιλογών. Η κανονιστική πίεση γίνεται μέρος της στρατηγικής ασφάλειας.

Υπάρχει, τέλος, και το χρέος δεξιοτήτων. Η φυσική ασφάλεια χρειάζεται καλύτερη κατανόηση των ψηφιακών εξαρτήσεων. Οι ομάδες κυβερνοασφάλειας χρειάζεται να κατανοούν τις ιδιαιτερότητες της φυσικής λειτουργίας, της παραγωγής και των εγκαταστάσεων. Οι μηχανικοί OT πρέπει να συμμετέχουν στη συζήτηση για ταυτότητες, απομακρυσμένη πρόσβαση και καταγραφή, χωρίς να αντιμετωπίζονται ως απλοί τεχνικοί εκτελεστές. Η διοίκηση χρειάζεται κοινή γλώσσα κινδύνου. Η διατομεακή επάρκεια γίνεται βασικός παράγοντας ανθεκτικότητας.

Η διακυβέρνηση περνά από τα σιλό στη συνολική εικόνα

Το πιο δύσκολο μέρος της σύγκλισης σπάνια είναι η τεχνική σύνδεση. Συνήθως είναι η διακυβέρνηση. Ποιος έχει την ευθύνη όταν ένα σύστημα φυσικής πρόσβασης επηρεάζει την εταιρική ταυτότητα; Ποιος εγκρίνει απομακρυσμένη πρόσβαση προμηθευτή σε εξοπλισμό πεδίου; Ποιος αποφασίζει αν μια βλάβη σε κτιριακό αυτοματισμό αποτελεί περιστατικό κυβερνοασφάλειας, τεχνικό συμβάν ή ζήτημα επιχειρησιακής συνέχειας; Ποιος συντονίζει τη νομική, την τεχνική, την επικοινωνιακή και τη λειτουργική αντίδραση; Χωρίς απαντήσεις, η κοινή διακυβέρνηση μένει σύνθημα.

Η κατεύθυνση των διεθνών πλαισίων δείχνει την ίδια μετατόπιση. Το NIST CSF 2.0 έβαλε τη διακυβέρνηση στον πυρήνα της προσέγγισης, συνδέοντας την κυβερνοασφάλεια με το broader enterprise risk management. Το NIST SP 800-82 υπενθυμίζει ότι τα OT συστήματα έχουν διαφορετικές προτεραιότητες από το κλασικό IT, καθώς η ασφάλεια, η αξιοπιστία και η συνέχεια της λειτουργίας είναι συχνά πιο κρίσιμες από τη συνηθισμένη λογική προστασίας δεδομένων. Το ISA/IEC 62443, από την πλευρά του, προσφέρει ένα πλαίσιο για βιομηχανικά συστήματα που γεφυρώνει operations, IT, process safety και cybersecurity. Η ώριμη διακυβέρνηση χρειάζεται να συνομιλεί με όλα αυτά, χωρίς να μετατρέπεται σε γραφειοκρατικό βάρος.

Η διοίκηση κινδύνου σε συγκλίνον περιβάλλον χρειάζεται ενιαίο χάρτη κρίσιμων λειτουργιών. Όχι μόνο λίστα συστημάτων, αλλά αποτύπωση επιχειρησιακών εξαρτήσεων: ποια διαδικασία υποστηρίζει ποιο σύστημα, ποιος προμηθευτής συμμετέχει, ποια ταυτότητα έχει πρόσβαση, ποιο δίκτυο μεταφέρει δεδομένα, ποια υπηρεσία cloud εμπλέκεται, ποια φυσική λειτουργία επηρεάζεται. Μόνο έτσι ο οργανισμός μπορεί να ξεχωρίσει το σημαντικό από το επείγον και το θορυβώδες. Η χαρτογράφηση συνεπειών προσφέρει πιο καθαρή βάση για αποφάσεις.

Αντίστοιχα, η διαχείριση ταυτοτήτων πρέπει να περιλαμβάνει ανθρώπους, συσκευές, λογαριασμούς υπηρεσιών και τρίτους συνεργάτες. Σε ένα συγκλίνον περιβάλλον, η έννοια του χρήστη διευρύνεται. Χρήστης μπορεί να είναι εργαζόμενος, εργολάβος, τεχνικός υποστήριξης, κάμερα, ελεγκτής πρόσβασης, εφαρμογή, gateway ή αυτοματοποιημένη διεργασία. Κάθε μία από αυτές τις οντότητες χρειάζεται σαφή αναγνώριση, περιορισμένα δικαιώματα και δυνατότητα ελέγχου. Η ταυτότητα κάθε οντότητας αποτελεί θεμέλιο της νέας ασφάλειας.

Η ανθεκτικότητα χτίζεται πριν από το περιστατικό

Η σύγκλιση απαιτεί αλλαγή και στην απόκριση περιστατικών. Το ερώτημα δεν είναι μόνο ποιο σύστημα παραβιάστηκε, αλλά ποιες επιχειρησιακές εξαρτήσεις μπορεί να επηρεαστούν. Αν ένα περιστατικό ξεκινήσει από εταιρικό IT, πρέπει να υπάρχει από πριν σχέδιο για το πότε ενημερώνονται οι ομάδες OT, φυσικής ασφάλειας, εγκαταστάσεων, νομικής υποστήριξης, επικοινωνίας και διοίκησης. Αν ένα σύστημα φυσικής πρόσβασης εμφανίσει ύποπτη συμπεριφορά, πρέπει να γνωρίζουν όλοι αν αντιμετωπίζεται ως τεχνική βλάβη, πιθανό κυβερνοσυμβάν ή κίνδυνος λειτουργικής συνέχειας. Η κοινή απόκριση χρειάζεται προετοιμασία.

Η τμηματοποίηση δικτύου παραμένει κρίσιμο εργαλείο, αλλά πρέπει να σχεδιάζεται με βάση τη συνέπεια και όχι μόνο την οργανωτική δομή. Τα πιο κρίσιμα συστήματα χρειάζονται πιο αυστηρά όρια, ελεγχόμενες διαδρομές, καταγραφή και περιορισμό πρόσβασης. Σε περιβάλλοντα OT, η προσέγγιση πρέπει να σέβεται την ασφάλεια λειτουργίας, τη διαθεσιμότητα και τους περιορισμούς του εξοπλισμού. Η απλή αντιγραφή πρακτικών IT μπορεί να δημιουργήσει νέα προβλήματα. Η τμηματοποίηση με νόημα ξεκινά από την κατανόηση του τι προστατεύεται και γιατί.

Το ίδιο ισχύει για την παρακολούθηση. Δεν αρκεί να παρακολουθούνται μόνο endpoints ή κεντρικά πληροφοριακά συστήματα. Τα σημαντικότερα σήματα μπορεί να βρίσκονται στα όρια: απομακρυσμένη πρόσβαση προμηθευτών, γέφυρες ταυτοτήτων, διαδρομές προς OT, συστήματα ελέγχου πρόσβασης, cloud κονσόλες, exposed υπηρεσίες, αλλαγές ρυθμίσεων και ασυνήθιστη συμπεριφορά σε υποδομές που παραδοσιακά θεωρούνταν «μη IT». Η παρακολούθηση των ορίων συχνά αποκαλύπτει νωρίτερα την πραγματική πορεία ενός περιστατικού.

Σε τελική ανάλυση, η σύγκλιση ασφάλειας ζητά από τον οργανισμό να δει την πραγματικότητα όπως ήδη λειτουργεί. Οι επιτιθέμενοι δεν σέβονται τα εσωτερικά οργανογράμματα, τις διαχωρισμένες αρμοδιότητες ή τα διαφορετικά budgets. Ακολουθούν τις συνδέσεις, τα δικαιώματα, τις εξαρτήσεις και τα αδύναμα σημεία. Όσο οι οργανισμοί διαχειρίζονται αυτά τα πεδία αποσπασματικά, τα κενά παραμένουν στα σημεία όπου τέμνονται οι κόσμοι. Η πραγματική ανθεκτικότητα αρχίζει όταν το επιχειρησιακό ρίσκο αντιμετωπίζεται ως ενιαία εικόνα.

Το στρατηγικό διακύβευμα για τα επόμενα χρόνια είναι σαφές: η ασφάλεια δεν μπορεί να μείνει εγκλωβισμένη σε ξεχωριστές τεχνικές περιοχές. Πρέπει να συνδεθεί με τη διοίκηση, τις προμήθειες, την αρχιτεκτονική, τη συμμόρφωση, τη λειτουργική συνέχεια και την κουλτούρα συνεργασίας. Η σύγκλιση δεν καταργεί την ανάγκη για ειδικούς. Αντίθετα, κάνει την εξειδίκευση πιο πολύτιμη, αρκεί να εντάσσεται σε κοινό πλαίσιο αποφάσεων. Στην εποχή όπου το φυσικό και το ψηφιακό περιβάλλον αλληλοεξαρτώνται, το ζητούμενο δεν είναι περισσότερα απομονωμένα μέτρα. Είναι ενιαία διαχείριση κινδύνου με σαφή ευθύνη, ορατότητα και επιχειρησιακό προσανατολισμό.