Αυστηρότεροι κανόνες για την κυβερνοασφάλεια καθώς οι κυπριακές ΜμΕ τρέχουν να συμμορφωθούν

Οι κυπριακές μεταποιητικές επιχειρήσεις και οι εταιρείες ανάπτυξης λογισμικού μπαίνουν στην πιο απαιτητική φάση του νέου ευρωπαϊκού καθεστώτος κυβερνοασφάλειας, σύμφωνα με όσα ανέφερε αυτή την εβδομάδα ο Υφυπουργός Έρευνας Νικόδημος Δαμιανού, όπως μεταδίδει το Cyprus Mail. Μιλώντας σε συνέδριο στη Λευκωσία, ο Δαμιανού εξήγησε ότι ο κανονισμός Cyber Resilience Act (CRA) αγγίζει πολύ περισσότερους τομείς από την παραδοσιακή τεχνολογία.

Ως παράδειγμα, ανέφερε την περίπτωση καζίνο όπου οι επιτιθέμενοι απέκτησαν πρόσβαση στο δίκτυό του μέσω έξυπνου θερμομέτρου που ήταν εγκατεστημένο σε ενυδρείο ψαριών στο λόμπι. Από εκεί κινήθηκαν στο σύστημα και έφτασαν στη βάση δεδομένων με τους μεγάλους παίκτες. «Κανείς που αγόρασε αυτό το θερμόμετρο δεν πίστευε ότι έπαιρνε απόφαση που αφορά την κυβερνοασφάλεια», είπε, τονίζοντας ότι αυτό ακριβώς είναι το νόημα του CRA. Για πρώτη φορά, πρόσθεσε, η ασφάλεια γίνεται ιδιότητα του ίδιου του προϊόντος, σχεδιάζεται από την αρχή, συντηρείται σε όλη τη διάρκεια υποστήριξής του και βαρύνει τον κατασκευαστή, όχι τον πελάτη.

Ο Δαμιανού αναφέρθηκε και σε νεότερους κινδύνους από αυτόνομα συστήματα τεχνητής νοημοσύνης, επικαλούμενος πρόσφατα περιστατικά με τις OpenAI και Hugging Face, καθώς και με την Anthropic. Η OpenAI επιβεβαίωσε τον Αύγουστο ότι, κατά τη διάρκεια αξιολογήσεων κυβερνοασφάλειας τον Ιούλιο, εσωτερικά ερευνητικά μοντέλα παρέκαμψαν ελέγχους που τα απομόνωναν από το διαδίκτυο, εκμεταλλεύτηκαν τρωτότητες και απέκτησαν πρόσβαση σε τμήματα των συστημάτων της Hugging Face. Η Anthropic έχει επίσης αναφέρει περιπτώσεις όπου μοντέλα Claude έφτασαν στο διαδίκτυο κατά τη διάρκεια αξιολογήσεων και απέκτησαν μη εξουσιοδοτημένη πρόσβαση σε πραγματικά συστήματα. Για την Κύπρο, είπε, τέτοιοι κίνδυνοι έχουν ιδιαίτερο βάρος λόγω της εξάρτησης του νησιού από συνδεδεμένες υποδομές και διεθνείς αλυσίδες εφοδιασμού. «Ως νησιωτικό κράτος μέλος, η Κύπρος αντιλαμβάνεται πλήρως τις συνέπειες», δήλωσε.

Οι δηλώσεις γίνονται καθώς ο CRA περνά από τη νομοθεσία στην καθημερινή συμμόρφωση. Από τις 11 Σεπτεμβρίου, οι κατασκευαστές υποχρεούνται να αναφέρουν ενεργά εκμεταλλευόμενες τρωτότητες και σοβαρά περιστατικά ασφάλειας που αφορούν προϊόντα με ψηφιακά στοιχεία, μέσω των ρυθμίσεων αναφοράς της ΕΕ υπό τον οργανισμό ENISA. Το πλήρες σύνολο των βασικών απαιτήσεων θα εφαρμοστεί από τις 11 Δεκεμβρίου 2027.

Το πιο δύσκολο ερώτημα, κατά τον Δαμιανού, είναι πώς οι εταιρείες θα ανταποκριθούν στην πράξη. «Ένας κανονισμός σου λέει τι πρέπει να επιτευχθεί. Δεν λέει σε μια εταιρεία δώδεκα ατόμων στη Λεμεσό πώς να το πετύχει. Αυτή είναι η δουλειά των προτύπων», είπε. Οι ευρωπαϊκοί φορείς τυποποίησης CEN, CENELEC και ETSI αναπτύσσουν εναρμονισμένα πρότυπα για να βοηθήσουν τις επιχειρήσεις να συμμορφωθούν με τον CRA. Τα οριζόντια πρότυπα που συζητήθηκαν στη Λευκωσία καλύπτουν τομείς όπως ο ασφαλής σχεδιασμός προϊόντων, η διαχείριση κινδύνων, ο χειρισμός τρωτοτήτων, η διαχείριση πρόσβασης, η κρυπτογράφηση και η ασφάλεια σε όλο τον κύκλο ζωής ενός προϊόντος.

Αντί οι κατασκευαστές να ερμηνεύουν τη νομοθεσία ξεχωριστά σε κάθε κράτος μέλος, ο Δαμιανού είπε ότι τα πρότυπα θα πρέπει να προσφέρουν «μία σαφή, αναγνωρισμένη οδό συμμόρφωσης, αντί για είκοσι επτά ερμηνείες του ίδιου άρθρου». Αυτό, σημείωσε, καθιστά την ανάπτυξή τους κάτι πολύ περισσότερο από τεχνική άσκηση. Για την Κύπρο, ωστόσο, η κύρια ανησυχία του αφορά τις μικρότερες επιχειρήσεις. «Οι περισσότεροι Κύπριοι κατασκευαστές και προγραμματιστές λογισμικού δεν έχουν τμήμα συμμόρφωσης», είπε, υποστηρίζοντας ότι για αυτές τις εταιρείες «ένα πρακτικό, προσβάσιμο πρότυπο είναι η διαφορά ανάμεσα στη συμμόρφωση ως βάρος και τη συμμόρφωση ως ανταγωνιστικό πλεονέκτημα».

Ο Δαμιανού πρόσθεσε ότι ο CRA πρέπει να ιδωθεί όχι μόνο ως νομοθεσία κυβερνοασφάλειας αλλά και ως μέτρο της Ενιαίας Αγοράς, επιτρέποντας σε μια εταιρεία που αναπτύσσει ένα ασφαλές και συμβατό προϊόν να το διαθέτει σε όλη την ευρωπαϊκή αγορά χωρίς διαφορετική προσέγγιση σε κάθε κράτος μέλος. Σύμφωνα με τον ίδιο, η Κύπρος είχε θέσει την κυβερνοανθεκτικότητα μεταξύ των τριών ψηφιακών προτεραιοτήτων της εξάμηνης Προεδρίας της στο Συμβούλιο της ΕΕ, που ολοκληρώθηκε τον Ιούνιο. Κατά τη διάρκεια της Προεδρίας, η Κύπρος προώθησε την αναθεώρηση της Πράξης για την Κυβερνοασφάλεια, με προτάσεις για ισχυρότερο ENISA και απλούστερες διαδικασίες πιστοποίησης, και έφερε το φάκελο στο Συμβούλιο Τηλεπικοινωνιών τον Ιούνιο. Φιλοξένησε επίσης την ευρωπαϊκή κοινότητα πιστοποίησης κυβερνοασφάλειας, ενώ η εργασία για το Digital Omnibus, με σχέδια για ενιαίο σημείο αναφοράς περιστατικών, έχει περάσει στην ιρλανδική Προεδρία.

Ο Δαμιανού αναγνώρισε ότι δεν ολοκληρώθηκαν όλοι οι φάκελοι στους έξι μήνες, αλλά τόνισε ότι ένα μήνυμα δεν άλλαξε: «Η Ευρώπη δεν μπορεί να αρκείται στο να είναι απλώς ρυθμιστής τεχνολογιών που αναπτύσσονται αλλού». Εν τω μεταξύ, η Κύπρος προσπαθεί να τακτοποιήσει τις δικές της ρυθμίσεις πριν από την πλήρη εφαρμογή του CRA. Ο Δαμιανού είπε ότι η Αρχή Ψηφιακής Ασφάλειας βρίσκεται στο κέντρο των προετοιμασιών, ενώ το Υπουργικό Συμβούλιο ενέκρινε φέτος το καλοκαίρι, για πρώτη φορά, ενιαίο πλαίσιο πολιτικής κυβερνοασφάλειας που καλύπτει την κυβέρνηση και τον ευρύτερο δημόσιο τομέα. «Δεν μπορούμε να ζητάμε από τους κατασκευαστές να κλειδώσουν τα προϊόντα τους αφήνοντας τις δικές μας πόρτες ανοιχτές», είπε.