Γράφει ο Νίκος Γεωργόπουλος

Ο κατασκευαστικός κλάδος εξαρτάται όλο και περισσότερο από τις ψηφιακές τεχνολογίες και τα διασυνδεδεμένα συστήματα για τη βελτίωση της επιχειρησιακής αποδοτικότητας, της διαχείρισης έργων και της επικοινωνίας.

Ενώ αυτός ο ψηφιακός μετασχηματισμός επιφέρει σημαντικά οφέλη, εκθέτει επίσης τις κατασκευαστικές εταιρείες σε ένα ευρύ φάσμα κινδύνων στον κυβερνοχώρο, συμπεριλαμβανομένων επιθέσεων ransomware, παραβιάσεων δεδομένων, διακοπών λειτουργίας των συστημάτων και απώλειας εταιρικών κεφαλαίων λόγω περιστατικών κοινωνικής μηχανικής.

Αυτοί οι κίνδυνοι μπορούν να διαταράξουν τα έργα, να οδηγήσουν σε οικονομικές απώλειες και ακόμη και να θέσουν σε κίνδυνο τη φήμη μιας εταιρείας. Η ασφάλιση στον κυβερνοχώρο έχει αναδειχθεί σε ζωτικής σημασίας εργαλείο διαχείρισης κινδύνων, επιτρέποντας στις κατασκευαστικές εταιρείες να μετριάσουν τις επιπτώσεις των περιστατικών στον κυβερνοχώρο και να διασφαλίσουν τις δραστηριότητές τους.

Το αυξανόμενο τοπίο απειλών στον κυβερνοχώρο στις κατασκευές

Οι κατασκευαστικές εταιρείες, που συχνά θεωρούνται λανθασμένα ως στόχοι χαμηλού κινδύνου, γίνονται όλο και πιο ελκυστικές για τους εγκληματίες του κυβερνοχώρου. Η εκτεταμένη χρήση από τον κλάδο συσκευών συνδεδεμένων στο διαδίκτυο, όπως τα μη επανδρωμένα αεροσκάφη, το λογισμικό μοντελοποίησης κτιριακών πληροφοριών (BIM) και τα έξυπνα κατασκευαστικά εργαλεία, δημιουργεί μεγαλύτερη επιφάνεια επίθεσης. Επιπλέον, τα κατασκευαστικά έργα περιλαμβάνουν συνήθως τη συνεργασία μεταξύ πολλών μερών, συμπεριλαμβανομένων των εργολάβων, των προμηθευτών και των πελατών. Αυτό το διασυνδεδεμένο οικοσύστημα αυξάνει την πιθανότητα διάδοσης απειλών στον κυβερνοχώρο μέσω των αλυσίδων εφοδιασμού.

Οι συγκεκριμένοι κίνδυνοι περιλαμβάνουν μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα έργων, όπως σχέδια και συμβάσεις, μέσω συστημάτων ηλεκτρονικού «ψαρέματος» ή επιθέσεων κακόβουλου λογισμικού. Τα περιστατικά Ransomware μπορούν να σταματήσουν τις εργασίες με το κλείδωμα κρίσιμων συστημάτων, προκαλώντας καθυστερήσεις στο έργο και οικονομική επιβάρυνση. Επιπλέον, καθώς οι κατασκευαστικές εταιρείες συχνά αποθηκεύουν δεδομένα πελατών και εργαζομένων, οι παραβιάσεις μπορούν να οδηγήσουν σε κανονιστικές κυρώσεις βάσει νόμων περί προστασίας δεδομένων, όπως ο Γενικός Κανονισμός για την Προστασία Δεδομένων της ΕΕ (GDPR).

Πώς η ασφάλιση στον κυβερνοχώρο αντιμετωπίζει αυτούς τους κινδύνους

Η ασφάλιση στον κυβερνοχώρο παρέχει ένα οικονομικό δίχτυ ασφαλείας, επιτρέποντας στις κατασκευαστικές εταιρείες να ανακάμπτουν αποτελεσματικότερα από περιστατικά στον κυβερνοχώρο. Τα συμβόλαια καλύπτουν συνήθως μια σειρά από κινδύνους, όπως:

- Εταιρικά κόστη διαχείρισης των συμβάντων: Περιλαμβάνουν δαπάνες που σχετίζονται με την ανάκτηση δεδομένων, την αποκατάσταση συστημάτων και τη διακοπή της επιχείρησης λόγω μιας επίθεσης στον κυβερνοχώρο.

- Υποχρεώσεις έναντι τρίτων: Κάλυψη νομικών αμοιβών, διακανονισμών και αποζημιώσεων που προκύπτουν από αγωγές πελατών, συνεργατών ή εργαζομένων που επηρεάζονται από παραβίαση δεδομένων.

- Κόστη αντιμετώπισης διοικητικών προστίμων: Βοήθεια στη διαχείριση προστίμων και ποινών που επιβάλλονται για παραβίαση κανονισμών προστασίας δεδομένων.

Για τον κατασκευαστικό κλάδο, η ασφάλιση στον κυβερνοχώρο πρέπει να συνδυάζεται με ασφάλιση επαγγελματικής ευθύνης ώστε να υπάρχει μια συνολική στρατηγική διαχείρισης των κινδύνων που συνδέονται με ανάληψη και ολοκλήρωση ενός έργου. Για παράδειγμα, εάν μια επίθεση ransomware σταματήσει την πρόοδο ενός έργου υποδομής ζωτικής σημασίας, η ασφάλιση μπορεί να καλύψει το κόστος της καθυστέρησης, συμπεριλαμβανομένων των ποινών που περιγράφονται στις συμβάσεις.

Επιπλέον, μπορεί να προστατεύσει από ζημία στη φήμη, χρηματοδοτώντας προσπάθειες δημοσίων σχέσεων για την αποκατάσταση της εμπιστοσύνης.

Εφαρμογή της ασφάλισης στον κυβερνοχώρο ως μέρος μιας ευρύτερης στρατηγικής διαχείρισης κινδύνων

Παρόλο που η ασφάλιση στον κυβερνοχώρο αποτελεί ουσιαστικό στοιχείο της διαχείρισης κινδύνων, είναι πιο αποτελεσματική όταν ενσωματώνεται σε μια ευρύτερη στρατηγική κυβερνοασφάλειας. Οι κατασκευαστικές εταιρείες θα πρέπει να διεξάγουν ενδελεχείς αξιολογήσεις κινδύνου για τον εντοπισμό των τρωτών σημείων στα πληροφοριακά συστήματα τους και στις αλυσίδες εφοδιασμού τους. Προληπτικά μέτρα, όπως η εκπαίδευση των εργαζομένων, οι τακτικές ενημερώσεις λογισμικού και η παρακολούθηση του δικτύου, μπορούν να μειώσουν σημαντικά την πιθανότητα περιστατικών στον κυβερνοχώρο.

Οι ασφαλιστές μπορούν επίσης να προσφέρουν υπηρεσίες διαχείρισης κινδύνου, συμπεριλαμβανομένων των ελέγχων κυβερνοασφάλειας και του σχεδιασμού αντιμετώπισης περιστατικών. Συνεργαζόμενες με ασφαλιστές, οι κατασκευαστικές εταιρείες μπορούν να αποκτήσουν πρόσβαση σε πολύτιμους πόρους που ενισχύουν τη συνολική τους στάση ασφαλείας.

Μελέτη περιστατικού: Η αποστολή των εταιρικών κεφαλαίων σε κυβερνοεγκληματίες

Στα μέσα του 2023, μια εξέχουσα κατασκευαστική εταιρεία, η BuildConstruct , έπεσε θύμα μιας πολύ καλά σχεδιασμένης επίθεσης κοινωνικής μηχανικής που οδήγησε σε σημαντική οικονομική ζημία.

Ιστορικό

Η BuildConstruct, η οποία διαχειριζόταν διάφορα έργα υποδομής μεγάλης κλίμακας, βασιζόταν σε μεγάλο βαθμό στην επικοινωνία μέσω ηλεκτρονικού ταχυδρομείου για τις διαδικασίες τιμολόγησης και πληρωμής. Η ομάδα πληρωτέων λογαριασμών τους επεξεργαζόταν τακτικά τιμολόγια από πολλούς προμηθευτές, γεγονός που τους καθιστούσε πρωταρχικό στόχο για απατεώνες.

Η Απάτη

Η επίθεση ξεκίνησε με τους εγκληματίες του κυβερνοχώρου να διεξάγουν ενδελεχή αναγνώριση. Εντόπισαν έναν έμπιστο προμηθευτή της BuildConstruct και παρακολούθησαν τα δημόσια διαθέσιμα δεδομένα της, συμπεριλαμβανομένων των ονομάτων του βασικού προσωπικού και του ηλεκτρονικού ταχυδρομείου. Στη συνέχεια, οι επιτιθέμενοι ξεκίνησαν μια εκστρατεία phishing, στέλνοντας ένα πειστικά πλαστό email σε ένα νεαρό στέλεχος του οικονομικού τμήματος της BuildConstruct.

Το μήνυμα ηλεκτρονικού ταχυδρομείου εμφανιζόταν να προέρχεται από τον οικονομικό διευθυντή του προμηθευτή, ζητώντας ενημέρωση των τραπεζικών πληροφοριών του προμηθευτή. Η γλώσσα, ο τόνος και το λογότυπο στο μήνυμα ηλεκτρονικού ταχυδρομείου μιμούνταν πολύ τον νόμιμο προμηθευτή. Εμπιστευόμενος το αίτημα, το κατώτερο στέλεχος ενημέρωσε τα τραπεζικά στοιχεία στο σύστημα χωρίς να επαληθεύσει τη γνησιότητά του.

Όταν η BuildConstruct επεξεργάστηκε την επόμενη παρτίδα πληρωμών, ένα σημαντικό ποσό μεταφέρθηκε στο λογαριασμό των απατεώνων αντί του νόμιμου προμηθευτή.

Η απάτη είχε ως αποτέλεσμα οικονομική ζημία που ξεπέρασε τα 250.000 ευρώ. Επιπλέον, επιβάρυνε τη σχέση μεταξύ της BuildConstruct και του προμηθευτή της, καθυστερώντας τρέχοντα έργα. Η παραβίαση προκάλεσε επίσης ανησυχίες μεταξύ των ενδιαφερομένων μερών σχετικά με τα μέτρα κυβερνοασφάλειας της εταιρείας, βλάπτοντας τη φήμη της.

Βασικά μαθήματα

1.Ανθρώπινη ευπάθεια: Η υπόθεση αυτή υπογραμμίζει ότι ακόμη και εξελιγμένα συστήματα μπορούν να παραβιαστούν μέσω ανθρώπινου λάθους. Η κοινωνική μηχανική εκμεταλλεύεται την εμπιστοσύνη και την εξοικείωση, καθιστώντας τους εργαζόμενους την πρώτη γραμμή άμυνας.

2.Πρωτόκολλα επαλήθευσης: Οι εταιρείες πρέπει να εφαρμόζουν αυστηρές διαδικασίες επαλήθευσης, όπως η απαίτηση προφορικής επιβεβαίωσης πριν από την ενημέρωση των τραπεζικών στοιχείων.

3.Εκπαίδευση ευαισθητοποίησης: Οι εργαζόμενοι πρέπει να εκπαιδεύονται να αναγνωρίζουν τις κόκκινες σημαίες, όπως τα επείγοντα αιτήματα αλλαγής στοιχείων πληρωμής ή οι ασυνήθιστες διευθύνσεις ηλεκτρονικού ταχυδρομείου αποστολέα.

4.Αντιμετώπιση περιστατικών: Η BuildConstruct ανταποκρίθηκε με τη διενέργεια ενδελεχούς ελέγχου, την ενίσχυση των εσωτερικών ελέγχων και την ενίσχυση της εκπαίδευσης του προσωπικού. Ειδοποίησαν επίσης την τράπεζά τους και συνεργάστηκαν με τις αρχές για τη διερεύνηση της απάτης.

Το περιστατικό αυτό αναδεικνύει τη σημασία της ευαισθητοποίησης στον κυβερνοχώρο και των ισχυρών πολιτικών για τον μετριασμό των κινδύνων κοινωνικής μηχανικής. Με την εκπαίδευση του ανθρώπινου δυναμικού, οι επιχειρήσεις μπορούν να μειώσουν σημαντικά την ευπάθειά τους σε τέτοια παραπλανητικά συστήματα.

Συμπέρασμα

Στη σημερινή ψηφιακή εποχή, οι κίνδυνοι στον κυβερνοχώρο είναι μια αναπόφευκτη πραγματικότητα για τον κατασκευαστικό κλάδο. Η ασφάλιση στον κυβερνοχώρο χρησιμεύει ως κρίσιμο εργαλείο διαχείρισης κινδύνων, παρέχοντας οικονομική προστασία και επιτρέποντας στις επιχειρήσεις να ανακάμπτουν γρήγορα από περιστατικά στον κυβερνοχώρο. Συνδυάζοντας την ασφάλιση στον κυβερνοχώρο με ισχυρές πρακτικές κυβερνοασφάλειας, οι κατασκευαστικές εταιρείες μπορούν όχι μόνο να διασφαλίσουν τις δραστηριότητές τους, αλλά και να εξασφαλίσουν την επιτυχή παράδοση των έργων σε έναν ολοένα και πιο διασυνδεδεμένο κόσμο. Η υιοθέτηση αυτής της διπλής προσέγγισης θα επιτρέψει στον κλάδο να διαχειριστεί αποτελεσματικά τις εξελισσόμενες απειλές στον κυβερνοχώρο.

Περισσότερες πληροφορίες για την ασφάλιση cyber insurance και την NIS2 μπορείτε να βρείτε εδώ

Ποιός είναι ο Νίκος Γεωργόπουλος

Digital Risk Insurance Broker – Cromar

Co-Founder  The DPO Academy

LinkedIn Profile : https://www.linkedin.com/in/nikos-georgopoulos/