Η προστασία των υποδομών νερού από μια κυβερνοεπίθεση δεν είναι υπόθεση ενός μόνο φορέα, αλλά μιας αλυσίδας ευθύνης που ξεκινά από τον ίδιο τον πάροχο ύδρευσης και φτάνει στις αρμόδιες ρυθμιστικές και κρατικές αρχές. Αυτό ήταν ένα από τα βασικά σημεία που ανέδειξε η διοίκηση της ΕΥΔΑΠ στην ημερίδα «Υδάτινες Συμμαχίες», με τίτλο «Ανθεκτικότητα και επιχειρησιακή συνέχεια στον κύκλο του νερού: Διεθνείς και Εγχώριες Πρακτικές», βάζοντας στο επίκεντρο την ανάγκη για σαφείς ρόλους, κοινά σχέδια και συντονισμένη αντίδραση όταν μια ψηφιακή απειλή μπορεί να επηρεάσει κρίσιμες εγκαταστάσεις και, τελικά, την ίδια την υδροδότηση.

Η πρώτη γραμμή άμυνας βρίσκεται στον ίδιο τον οργανισμό ύδρευσης, ο οποίος οφείλει να προστατεύει τα συστήματά του, να γνωρίζει τα ευάλωτα σημεία του και να διαθέτει δοκιμασμένα σχέδια επιχειρησιακής συνέχειας. Σε ένα σοβαρό περιστατικό, όμως, η ευθύνη διευρύνεται: στην εξίσωση μπαίνουν η Ρυθμιστική Αρχή, η Εθνική Αρχή Κυβερνοασφάλειας και, ανάλογα με την έκταση της κρίσης, η Πολιτική Προστασία, η Περιφέρεια, οι δήμοι, η Αστυνομία και η Πυροσβεστική.

Αυτό ήταν ένα από τα βασικά μηνύματα της διοίκησης της ΕΥΔΑΠ. Ο Χάρης Σαχίνης στάθηκε ιδιαίτερα στην ανάγκη να ξεκαθαριστεί εκ των προτέρων ποιος κάνει τι όταν μια κρίση ξεπερνά τα όρια της ίδιας της εταιρείας. Όπως σημείωσε, μια μεγάλη άσκηση ετοιμότητας μπορεί να απαιτεί τη συμμετοχή ακόμη και 15 διαφορετικών φορέων, από την Περιφέρεια και τους δήμους έως την Αστυνομία και την Πυροσβεστική. Κατά τον ίδιο, ακριβώς σε αυτό το επίπεδο εξακολουθεί να υπάρχει ένα πραγματικό κενό συντονισμού, το οποίο πρέπει να καλυφθεί μέσα από σαφείς διαδικασίες και κοινές ασκήσεις.

Η λογική είναι ότι η προστασία του νερού δεν αρχίζει τη στιγμή που εκδηλώνεται η επίθεση. Ξεκινά πολύ νωρίτερα, από τον τρόπο με τον οποίο είναι οργανωμένος ο ίδιος ο πάροχος. Στην ΕΥΔΑΠ, σύμφωνα με όσα παρουσίασε η διοίκηση, ο σχεδιασμός βασίζεται στην πρόληψη, στη διαχείριση κινδύνου και σε λειτουργίες διασφάλισης, κανονιστικής συμμόρφωσης, προστασίας δεδομένων, ασφάλειας και ποιότητας. Στόχος είναι να υπάρχουν καταγεγραμμένοι κίνδυνοι, συγκεκριμένες διαδικασίες και δοκιμασμένα σχέδια, ώστε ο οργανισμός να μην επιχειρεί να αυτοσχεδιάσει την ώρα της κρίσης.

Με αυτή την έννοια, η ΕΥΔΑΠ αποτελεί την πρώτη επιχειρησιακή γραμμή προστασίας των δικών της υποδομών. Είναι εκείνη που πρέπει να γνωρίζει τα συστήματα και τα ευάλωτα σημεία της, να επενδύει στην πρόληψη, να διαθέτει εκπαιδευμένο προσωπικό και να έχει έτοιμα σχέδια συνέχισης της λειτουργίας. Η ίδια η διοίκηση έδωσε ιδιαίτερη έμφαση στα «δοκιμασμένα σχέδια», δηλαδή όχι απλώς σε διαδικασίες γραμμένες στο χαρτί, αλλά σε πρωτόκολλα που έχουν περάσει από άσκηση και μπορούν να ενεργοποιηθούν όταν προκύψει πραγματικό συμβάν.

Το δεύτερο επίπεδο είναι η εποπτεία και ο συντονισμός. Στην τοποθέτησή του ο κ. Σαχίνης αναφέρθηκε στη Ρυθμιστική Αρχή, την οποία η ΕΥΔΑΠ έχει ήδη ενημερώσει για την ανάγκη να οργανωθεί μια ευρύτερη κοινή άσκηση. Το κρίσιμο σημείο, όπως το έθεσε, είναι ότι μπορεί να υπάρχει ένας θεσμικός φορέας που εποπτεύει ή συντονίζει, αλλά αυτό δεν απαλλάσσει κανέναν από τη δική του ευθύνη: «όλοι είμαστε συνυπεύθυνοι» ήταν η ουσία της παρέμβασής του.

Στο καθαρά ψηφιακό σκέλος, το πλέγμα προστασίας συμπληρώνεται από την Εθνική Αρχή Κυβερνοασφάλειας, η οποία μπορεί να συνδράμει στη διαχείριση μιας κυβερνοεπίθεσης. Στη συζήτηση της ημερίδας τονίστηκε ότι ένα τέτοιο περιστατικό πρέπει να αντιμετωπίζεται βάσει προκαθορισμένου σχεδίου, με σαφή κατανομή αρμοδιοτήτων και με τη δυνατότητα των αρμόδιων κρατικών δομών να υποστηρίξουν τον οργανισμό που δέχεται την επίθεση.

Το γιατί όλα αυτά έχουν σημασία φαίνεται από την ίδια την εμπειρία της ΕΥΔΑΠ σε άλλου τύπου κρίσεις. Ο κ. Σαχίνης αναφέρθηκε σε περιστατικά διακοπής ηλεκτροδότησης και πυρκαγιών που απείλησαν εγκαταστάσεις της εταιρείας. Σε μία περίπτωση, όπως είπε, εγκατάσταση επεξεργασίας νερού έχασε και τις δύο πηγές ηλεκτροδότησής της, με την εταιρεία να κινητοποιεί γεννήτριες ώστε η παροχή προς τους πολίτες να συνεχιστεί χωρίς να γίνει αντιληπτή η κρίση. Η εμπειρία αυτή οδήγησε στη συνέχεια σε πρόσθετα έργα και μέτρα ώστε να μειωθεί η πιθανότητα επανάληψης του ίδιου προβλήματος.

Η ίδια φιλοσοφία μεταφέρεται τώρα και στην κυβερνοασφάλεια. Μια ψηφιακή επίθεση σε εταιρεία ύδρευσης δεν είναι απλώς ένα περιστατικό ΙΤ. Μπορεί να επηρεάσει συστήματα ελέγχου, εγκαταστάσεις, αντλιοστάσια ή άλλες κρίσιμες λειτουργίες και, στη χειρότερη περίπτωση, να απειλήσει την ομαλή τροφοδοσία των πολιτών με νερό. Για αυτό και η προστασία μιας τέτοιας υποδομής απαιτεί πολλαπλές γραμμές άμυνας.

Η απάντηση, λοιπόν, στο ερώτημα «ποιος προστατεύει το νερό από μια κυβερνοεπίθεση;» είναι ότι δεν υπάρχει ένας μοναδικός «φύλακας». Ο πάροχος, στην προκειμένη περίπτωση η ΕΥΔΑΠ, έχει την άμεση ευθύνη για την ασφάλεια και την επιχειρησιακή συνέχεια των υποδομών του. Η Ρυθμιστική Αρχή έχει ρόλο εποπτείας και συντονισμού στο πεδίο του νερού, η Εθνική Αρχή Κυβερνοασφάλειας συνδράμει στο ψηφιακό σκέλος, ενώ σε μια κρίση μεγάλης κλίμακας μπαίνουν στην εξίσωση οι υπόλοιπες κρατικές και τοπικές αρχές. Και αυτό ακριβώς είναι το σημείο στο οποίο επέμεινε η διοίκηση της ΕΥΔΑΠ: τα σχέδια υπάρχουν, όμως το πραγματικό τεστ είναι εάν όλοι αυτοί οι κρίκοι μπορούν να λειτουργήσουν μαζί όταν έρθει η δύσκολη στιγμή.

Διαβάστε ακόμη