Τα σχολεία της Μεσσηνίας στο επίκεντρο της ψηφιακής ευαισθητοποίησης
Από τις 31 Μαρτίου έως τις 7 Μαΐου, η ΑΜΚΕ Homo Digitalis επισκέφθηκε 11 σχολεία πρωτοβάθμιας και δευτεροβάθμιας εκπαίδευσης στη Μεσσηνία, φέρνοντας την ενημέρωση και την εκπαίδευση γύρω από την ασφάλεια στο διαδίκτυο πιο κοντά σε μαθήτριες και μαθητές.
Κατά τη διάρκεια των εκπαιδεύσεων σε Αρφαρά, Δώριο, Εύα, Θουρία, Καλαμάτα, Κυπαρισσία, Πύλο, Φιλιατρά, Φοινικούντα και Χώρα, 554 μαθήτριες και μαθητές ήρθαν σε επαφή με βασικά ζητήματα του ψηφιακού κόσμου, όπως: Διαδικτυακός εκφοβισμός, Ασφάλεια στο διαδίκτυο, Αναγνώριση και κατανόηση των deepfakes, και Υπεύθυνη χρήση των μέσων κοινωνικής δικτύωσης.
Η ενημέρωση και ευαισθητοποίηση των παιδιών, αλλά και των ενηλίκων, αποτελεί απαραίτητο βήμα για μια ασφαλή και υγιή πλοήγηση στον ψηφιακό κόσμο.
Η δράση υλοποιήθηκε με την υποστήριξη του Ιδρύματος Καπετάν Βασίλη και Κάρμεν Κωνσταντακόπουλου και θα συνεχιστεί με νέες παρουσιάσεις την περίοδο Σεπτεμβρίου – Δεκεμβρίου 2025.
Αν το σχολείο σας βρίσκεται στη Μεσσηνία και επιθυμεί να φιλοξενήσει δωρεάν εκπαιδεύσεις, επικοινωνήστε με την ομάδα της Homo Digitalis στο info@homodigitalis.gr.
Από την Ευαισθητοποίηση στη Διαχείριση του Ανθρώπινου Ρίσκου: Ώρα για μια Νέα Προσέγγιση στην Κυβερνοασφάλεια
Γράφει o Τάσος Αραμπατζής
Παρά τις τεχνολογικές εξελίξεις και τις επενδύσεις στην ασφάλεια των πληροφοριακών συστημάτων, ο ανθρώπινος παράγοντας εξακολουθεί να αποτελεί τον πιο ευάλωτο κρίκο στην αλυσίδα της κυβερνοασφάλειας.
Σύμφωνα με την αναφορά Verizon Data Breach Investigations Report (DBIR) 2025, η ανθρώπινη συμπεριφορά σχετίζεται άμεσα με το 60% των περιστατικών παραβίασης δεδομένων. Από ακούσια λάθη μέχρι κακή εκτίμηση κινδύνων και παραπλάνηση μέσω κοινωνικής μηχανικής, ο άνθρωπος παραμένει το πιο σύνθετο και απρόβλεπτο «σύστημα» εντός κάθε οργανισμού.
Phishing και κλεμμένοι κωδικοί: Οι πιο ακριβές επιθέσεις
Δεν είναι τυχαίο ότι οι επιθέσεις τύπου phishing και η χρήση κλεμμένων διαπιστευτηρίων συγκαταλέγονται ανάμεσα στις πιο δαπανηρές για τις επιχειρήσεις.
Σύμφωνα με την αναφορά της IBM, Cost of a Data Breach 2024, το μέσο παγκόσμιο κόστος μίας επίθεσης phishing ανέρχεται σε 4.88 εκατομμύρια δολάρια, ενώ μία επίθεση κοινωνικής μηχανικής κοστίζει στις επιχειρήσεις 4.77 εκατομμύρια δολάρια. Τέλος, το κόστος μίας επίθεσης που ξεκινά από κλεμμένα διαπιστευτήρια ανέρχεται σε 4.81 εκατομμύρια δολάρια.
Ο κυριότερος λόγος για την υψηλή οικονομική επίδραση αυτών των επιθέσεων είναι ότι είναι πολύ δύσκολο να ανιχνευθούν – είναι ύπουλες επιθέσεις, όπου οι επιτιθέμενοι εκμεταλλεύονται την ανωνυμία που τους παρέχουν οι κλεμμένοι κωδικοί και κινούνται αθόρυβα μέσα στα δίκτυα των επιχειρήσεων. Σε αντίθεση, π.χ., οι επιθέσεις ransomware είναι άμεσα ορατές διότι οι επιτιθέμενοι τις διαφημίζουν για να ζητήσουν λύτρα.
Το κόστος τους δεν περιορίζεται μόνο σε οικονομικές ζημίες, αλλά επεκτείνεται και σε νομικές συνέπειες, απώλεια εμπιστοσύνης, ζημιές στη φήμη και μείωση της παραγωγικότητας. Επιπλέον, οι επιθέσεις αυτές είναι εξαιρετικά εξελιγμένες, αξιοποιούν τεχνικές εξαπάτησης που βασίζονται στην ψυχολογία και «ξεγελούν» ακόμα και τους πιο προσεκτικούς χρήστες. Η χρήση της Παραγωγικής ΤΝ (GenAI) κάνει την κατάσταση ακόμα πιο πολύπλοκη για τις επιχειρήσεις και τους ανθρώπους.
Εκπαίδευση ευαισθητοποίησης: απαραίτητη, αλλά όχι επαρκής
Η εκπαίδευση ευαισθητοποίησης στην κυβερνοασφάλεια αποτελεί βασικό εργαλείο για την αντιμετώπιση των κινδύνων που προέρχονται από τον ανθρώπινο παράγοντα. Μελέτες δείχνουν ότι, όταν εφαρμόζεται σωστά, μπορεί να μειώσει σημαντικά την ευπάθεια των εργαζομένων σε επιθέσεις τύπου phishing. Συγκεκριμένα, πρόσφατη έρευνα αναφέρει ότι το τακτικό πρόγραμμα εκπαίδευσης μπορεί να μειώσει τον κίνδυνο από 60% σε 10% εντός του πρώτου έτους εφαρμογής.
Ωστόσο, παρά την αναγνώριση της σημασίας της, η αποτελεσματικότητα της εκπαίδευσης ευαισθητοποίησης συχνά περιορίζεται λόγω διαφόρων παραγόντων.
- Προσέγγιση συμμόρφωσης αντί αλλαγής συμπεριφοράς: Πολλοί οργανισμοί αντιμετωπίζουν την εκπαίδευση ως μια υποχρέωση συμμόρφωσης, εστιάζοντας στην ολοκλήρωση των μαθημάτων παρά στην πραγματική αλλαγή συμπεριφοράς των εργαζομένων. Αυτό οδηγεί σε προγράμματα που δεν καταφέρνουν να επηρεάσουν ουσιαστικά τις καθημερινές πρακτικές των χρηστών.
- Έλλειψη εξατομίκευσης: Η γενική προσέγγιση στην εκπαίδευση δεν λαμβάνει υπόψη τις διαφορετικές ανάγκες και ρόλους των εργαζομένων, με αποτέλεσμα να μην αντιμετωπίζονται οι συγκεκριμένοι κίνδυνοι που σχετίζονται με κάθε θέση εργασίας.
- Ανεπαρκής ενίσχυση και επανάληψη: Η εκπαίδευση συχνά παρέχεται ως εφάπαξ δραστηριότητα, χωρίς συνεχή ενίσχυση και επανάληψη, γεγονός που μειώνει την αποτελεσματικότητά της με την πάροδο του χρόνου.
- Έλλειψη μέτρησης αποτελεσματικότητας: Πολλές επιχειρήσεις δεν διαθέτουν μηχανισμούς για την αξιολόγηση της αποτελεσματικότητας των προγραμμάτων εκπαίδευσης, καθιστώντας δύσκολη την αναγνώριση και διόρθωση των αδυναμιών.
Από την ευαισθητοποίηση στη διαχείριση του ανθρώπινου ρίσκου
Η παραδοσιακή προσέγγιση της ευαισθητοποίησης στην κυβερνοασφάλεια, αν και απαραίτητη, αποδεικνύεται ανεπαρκής για την αντιμετώπιση των σύγχρονων απειλών. Αυτό έχει οδηγήσει σε μια μετατόπιση προς τη διαχείριση του ανθρώπινου ρίσκου (Human Risk Management - HRM), μια πιο στοχευμένη και μετρήσιμη προσέγγιση που εστιάζει στην κατανόηση και την αλλαγή της ανθρώπινης συμπεριφοράς.
Σύμφωνα με την Forrester, το HRM περιλαμβάνει τη μέτρηση και την ποσοτικοποίηση των ανθρώπινων συμπεριφορών ασφαλείας, την υλοποίηση πολιτικών και εκπαιδευτικών παρεμβάσεων βάσει του ανθρώπινου ρίσκου, και την ενδυνάμωση του εργατικού δυναμικού για την προστασία του εαυτού τους και της οργάνωσης από κυβερνοεπιθέσεις.
Το HRM δημιουργεί έναν συνεχή κύκλο ανατροφοδότησης μεταξύ των λειτουργιών ασφαλείας και της εκπαίδευσης ευαισθητοποίησης. Καθώς οι ομάδες ασφαλείας εντοπίζουν νέες απειλές ή ευπάθειες, αυτές οι πληροφορίες μπορούν να ενσωματωθούν γρήγορα στα εκπαιδευτικά υλικά και να χρησιμοποιηθούν για τη δημιουργία πιο σχετικών εκπαιδευτικών εκστρατειών.
Το HRM προσφέρει επίσης τη δυνατότητα εξατομικευμένης εκπαίδευσης, προσαρμοσμένης στο προφίλ κινδύνου κάθε εργαζομένου. Για παράδειγμα, ένας υπάλληλος που έχει συχνή πρόσβαση σε ευαίσθητα δεδομένα μπορεί να λάβει εντατικότερη εκπαίδευση σχετικά με τα πρωτόκολλα διαχείρισης δεδομένων, ενώ κάποιος που ταξιδεύει συχνά για εργασία μπορεί να εκπαιδευτεί επιπλέον στις πρακτικές ασφαλούς απομακρυσμένης πρόσβασης.
Επιπλέον, το HRM επιτρέπει την ποσοτικοποίηση της αποτελεσματικότητας των προγραμμάτων ευαισθητοποίησης στην ασφάλεια. Οι οργανώσεις μπορούν να παρακολουθούν πώς οι αλλαγές στη συμπεριφορά των χρηστών συσχετίζονται με τη μείωση των περιστατικών ασφαλείας, παρέχοντας απτά αποδεικτικά στοιχεία για τον αντίκτυπο του προγράμματος και τις περιοχές που χρειάζονται βελτίωση.
Η μετάβαση από την απλή ευαισθητοποίηση στη διαχείριση του ανθρώπινου ρίσκου είναι μια αναγνώριση ότι η ανθρώπινη συμπεριφορά είναι ένας κρίσιμος παράγοντας στην κυβερνοασφάλεια. Με την υιοθέτηση πολιτικών διαχείρισης ανθρώπινου ρίσκου, οι εταιρείες μπορούν να δημιουργήσουν μια πιο ανθεκτική και ευαισθητοποιημένη κουλτούρα ασφαλείας, μειώνοντας ουσιαστικά τον κίνδυνο που προέρχεται από τον ανθρώπινο παράγοντα.
Ψηφιακή ενδυνάμωση όλων των κοινωνικών ομάδων
Η συζήτηση για την κυβερνοασφάλεια δεν μπορεί να περιοριστεί μόνο στο επιχειρηματικό περιβάλλον. Η ψηφιακή ζωή είναι πλέον αναπόσπαστο μέρος της καθημερινότητας όλων μας. Παιδιά, έφηβοι, ηλικιωμένοι —όλοι χρησιμοποιούν το διαδίκτυο, και όλοι είναι πιθανοί στόχοι κακόβουλων ενεργειών.
Για τα παιδιά, η ενδυνάμωση αφορά την ασφαλή πλοήγηση, την αναγνώριση του διαδικτυακού εκφοβισμού και την κατανόηση των προσωπικών δεδομένων. Για τους ηλικιωμένους, η προστασία σχετίζεται συχνά με απάτες, παραπληροφόρηση και χειραγώγηση. Η εκπαίδευση αυτών των ομάδων χρειάζεται διαφορετική γλώσσα, μέσα και μεθοδολογία, αλλά είναι εξίσου σημαντική με αυτή των εργαζομένων.
Η δημιουργία μιας κουλτούρας που σέβεται τα ψηφιακά δικαιώματα όλων των πολιτών είναι πλέον κοινωνική επιταγή. Δεν αρκεί να προστατευόμαστε ατομικά· χρειάζεται συλλογική υπευθυνότητα. Ο σεβασμός στα προσωπικά δεδομένα, η ασφαλής χρήση της τεχνολογίας και η απόρριψη κακόβουλων πρακτικών είναι στάσεις ζωής που πρέπει να ενθαρρυνθούν σε όλα τα επίπεδα της κοινωνίας.
Κλείνοντας: μια πρόσκληση για σκέψη και δράση
Η διαχείριση του ανθρώπινου ρίσκου δεν είναι ζήτημα τεχνολογίας – είναι ζήτημα πολιτισμού. Αφορά την καλλιέργεια μιας κουλτούρας ευθύνης, διαρκούς μάθησης και ψηφιακού σεβασμού. Είναι καιρός να σταματήσουμε να ρίχνουμε το βάρος μόνο στους χρήστες και να αναγνωρίσουμε ότι η προστασία ξεκινά από το πώς σχεδιάζουμε τα συστήματα, τα μηνύματα και τις εμπειρίες τους.
Το μέλλον της κυβερνοασφάλειας περνά μέσα από τον άνθρωπο. Ας τον ενδυναμώσουμε.
Στείλαμε ανοιχτή επιστολή στην ΕΕ για να επενεξετάσει την απόφαση επάρκειας του νομικού πλαισίου του Ισραήλ με τον GDPR
Μαζί με την European Digital Rights, την Access Now και ακόμη 16 οργανώσεις της κοινωνίας των πολιτών καταθέσαμε δεύτερη ανοιχτή επιστολή προς την Ευρωπαϊκή Επιτροπή, καλώντας την να επανεξετάσει επειγόντως το καθεστώς επάρκειας του Ισραήλ στο πλαίσιο του GDPR.
Από τότε που η Επιτροπή επαναβεβαίωσε το καθεστώς του Ισραήλ τον Ιανουάριο του 2024, η κατάσταση μόνο έχει επιδεινωθεί:
-Κλιμάκωση παραβιάσεων δικαιωμάτων του ανθρώπου στη Γάζα και τη Δυτική Όχθη
-Επέκταση συστημάτων παρακολούθησης και βιομετρικής καταστολής
-Νομικές μεταρρυθμίσεις που υπονομεύουν την εποπτεία της επεξεργασίας προσωπικών δεδομένων
-Συνεχείς ροές δεδομένων σε ισραηλινές εταιρείες με δεσμούς με τις υπηρεσίες ασφαλείας
-Χρήση συστημάτων στοχοποίησης που βασίζονται σε τεχνητή νοημοσύνη, σε ένα πλαίσιο όπου το Διεθνές Δικαστήριο έχει κρίνει ότι υπάρχει εύλογη υπόνοια γενοκτονίας
-Εφαρμογή του ισραηλινού δικαίου σε κατεχόμενα εδάφη, κατά παράβαση της ίδιας της πολιτικής της ΕΕ
Δεν πρόκειται μόνο για τεχνική συμμόρφωση. Πρόκειται για το κατά πόσο το ευρωπαϊκό πλαίσιο προστασίας δεδομένων μπορεί να υπερασπιστεί αξιόπιστα τα θεμελιώδη δικαιώματα, και για το αν δεδομένα που προέρχονται από την ΕΕ χρησιμοποιούνται για τη διευκόλυνση παράνομων πρακτικών/
Διάβασε την επιστολή εδώ.
Ανακοινώνουμε την ίδρυση του δικτύου “Pega-Coalition”.
Από κοινού με τις οργανώσεις Data Rights, Irídia – Centre per la Defensa dels Drets Humans, Társaság a Szabadságjogokért – Hungarian Civil Liberties Union, Gesellschaft für Freiheitsrechte e.V., Fundacja Panoptykon και Share Foundation ανακοινώσαμε σήμερα στις Βρυξέλλες το δίκτυο “Pega-Coalition”.
To δίκτυο αποσκοπεί στον συντονισμό νομικών ενεργειών, καθώς και ενεργειών συνηγορίας κατά λογισμικών κατασκοπείας τόσο σε ευρωπαϊκό επίπεδο όσο και σε εθνικό, στις χώρες δραστηριοποίησης των οργανώσεων μας, δηλαδή Γερμανία, Ελλάδα, Ουγγαρία, Πολωνία, Σερβία και Ισπανία.
Ήδη έχουμε συνεργαστεί με τις οργανώσεις σε σχετικές νομικές ενέργειες όπως την επιτυχή κατάθεση μίας παρέμβασης amicus curiae στην υπόθεση Brejza and Others v. Poland (applications nos. 27830/23) ενώπιον του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου τον Φεβρουάριο του 2025.
Θυμίζουμε ότι η Ελληνική Κυβέρνηση, στο πλαίσιο των Άρθρων 13 & 47 του Ν. 5002/2022 , για περισσότερο από ένα χρόνο τώρα προετοιμάζει σχετικό Σχέδιο Προεδρικού Διατάγματος για τη σύναψη συμβάσεων εκ μέρους κρατικών δομών για την προμήθεια λογισμικών ή συσκευών παρακολούθησης. Στις 19/6/2025 ενημερωθήκαμε από την ΑΠΔΠΧ, σε συνέχεια ερωτήματός μας, οτι η ΑΠΔΠΧ έχει λάβει το εν λόγω Σχ. Π.Δ. και ζήτησε περεταίρω διευκρινίσεις τις οποίες και αναμένει.
Μπορείτε να διαβάσετε περισσότερα για το δίκτυό “Pega-Coalition” εδώ.
Η Homo Digitalis συνεργάζεται με το βραβευμένο Family Experience Agency KIDOT
Η Homo Digitalis έχει τη μεγάλη χαρά να συνεργάζεται με το βραβευμένο Family Experience Agency, KIDOT !!
Συγκεκριμένα, στο πλαίσιο των δράσεων και των προγραμμάτων τους, είχαμε τη χαρά να δώσουμε ενεργά το παρόν στις εξής πρωτοβουλίες:
(1) Σειρά video “KIDOT meets the world: The Changemakers” | Τα παιδιά συζητούν για Τεχνολογία & Digital Literacy (διαθέσιμο εδώ)
(2) Σειρά Podcast & Vidcast “Parenting for Change” | Τεχνολογία & Digital Literacy: Πώς να δημιουργήσουμε ένα ασφαλές ψηφιακό περιβάλλον για τα παιδιά (διαθέσιμο εδώ)
(3) ΚΙDOT MAGAZINE | Με ένα σύντομο άρθρο στο οποίο απαντάμε στις ερωτήσεις σας για την τεχνολογία και το Digital Literacy / WORDS for Change (διαθέσιμο εδώ)
Στις δράσεις αυτές συμμετείχαν από την ομάδα μας εκπροσωπώντας τη Homo Digitalis η Λαμπρινή Γυφτοκώστα και ο Λευτέρης Χελιουδάκης! Ευχαριστούμε θερμά την ομάδα του KIDOT, μεταξύ άλλων την Άννα Σαουλια και τον Μάκη Ανανιάδη για την εξαιρετική συνεργασία!
Καταθέσαμε τις απόψεις μας στην ανοιχτή διαβούλευση της Ευρωπαϊκής Επιτροπής για το άρθρο 28 DSA
Στις 13 Ιουνίου η Homo Digitalis κατέθεσε τις απαντήσεις της στην Ανοιχτή Διαβούλευση της Ευρωπαϊκής Επιτροπής σχετικά με τις κατευθυντήριες γραμμές για την προστασία των ανηλίκων στο διαδίκτυο στο πλαίσιο των διατάξεων του Άρθρου 28 της Πράξης για τις Ψηφιακές Υπηρεσίες.
Τις απαντήσεις στο ερωτηματολόγιο, συμπλήρωσε και το κείμενο μίας μελέτης, η οποία περιείχε αναλυτικότερη επεξήγηση των σχετικών προτάσεων και προβληματισμών.
Η συντακτική ομάδα της δράσης αυτής αποτελείται από τις/τους Σταυρίνα Χούσου, Αναστάστιο Αραμπατζή, Αλκμήνη Γιαννή, Καλλιρόη Γραμμένου και Λαμπρινή Γυφτοκώστα.
Μπορείς να διαβάσεις τις απαντήσεις στο ερωτηματολόγιο εδώ.
Μπορείς να διαβάσεις τη μελέτη εδώ.
ΔΙΑΧΕΙΡΙΣΗ ΔΙΑΚΙΝΔΥΝΕΥΣΗΣ ΣΧΕΤΙΚΑ ΜΕ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ
Γράφει o Δημοσθένης Κωστούλας, ΜΒΑ, MSc, BSc*
Με αφορμή την πολύ πρόσφατη δημοσίευση του «Εθνικού Πλαισίου Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων» (6/5/2025), υπενθυμίζεται σε όλους η σημαντικότητα της διενέργειας εκτίμησης κινδύνων (risk assessment) που απειλούν την ασφάλεια των συστημάτων δικτύου και πληροφοριών. Ειδικότερα για τα προσωπικά δεδομένα, κάθε ολοκληρωμένο πρόγραμμα συμμόρφωσης πρέπει όντως να περιλαμβάνει μια ολοκληρωμένη Ανάλυση Διακινδύνευσης (Risk Assessment). Αν και η ενδεδειγμένη μέθοδος για την εκτίμηση του επιπέδου ασφάλειας σύμφωνα με τα οριζόμενα στις διατάξεις του άρθρου 35 του ΓΚΠΔ σχετικά με την προστασία δεδομένων (υψηλού κινδύνου) είναι η υλοποίηση της Μελέτης Αντικτύπου (Data Privacy Impact Analysis - DPIA), εντούτοις συστήνεται να διενεργείται (και) μια γενικότερη ανάλυση διακινδύνευσης για το σύνολο των κινδύνων / απειλών. Σύμφωνα με τις γενικότερες επιταγές ασφάλειας (άρθρο 32 του ΓΚΠΔ), η Ανάλυση Διακινδύνευσης πρέπει να σχετίζεται με τα ευρήματα που εντοπίζονται από την φάση της αρχικής Χαρτογράφησης (Data Mapping) και να υλοποιείται τόσο ΠΡΙΝ, όσο και ΜΕΤΑ από την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των προσωπικών δεδομένων.
Κίνδυνος / Απειλή ορίζεται ως η πιθανότητα ή απειλή ζημίας, απώλειας ή αρνητικής συνέπειας σε ευαίσθητα περιεχόμενα / πληροφορίες και προσωπικά δεδομένα, με αρνητική επίπτωση στα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων (και ειδικότερα το δικαίωμα τους στην προστασία των δεδομένων) ή/και την απρόσκοπτη λειτουργία του Οργανισμού (ως υπεύθυνος επεξεργασίας). Οι κίνδυνοι μπορεί να προέρχονται τόσο από εγγενείς όσο και από εξωγενείς παράγοντες και μπορούν να μετριαστούν με κατάλληλα μέτρα. Η Διαχείριση Διακινδύνευσης αφορά το σύνολο διαδικασιών που σχετίζονται με τον εντοπισμό, την αξιολόγηση και την αντιμετώπιση των παραπάνω κινδύνων.
Στάδια Υλοποίησης
Για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την Διαχείριση Διακινδύνευσης σχετικά με τα προσωπικά δεδομένα, ένας Οργανισμός (ως υπεύθυνος επεξεργασίας) συστήνεται να υιοθετήσει την μέθοδο DMRA (Decision Matrix Risk Assessment technique), μια συστηματική προσέγγιση που χρησιμοποιείται για τον αρχικό προσδιορισμό του επιπέδου κινδύνου (Risk Level) και τη σύγκριση διαφορετικών κινδύνων. Πρόκειται για ένα ευρέως χρησιμοποιούμενο εργαλείο για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την διαχείριση κινδύνων, βάσει και του διεθνούς προτύπου ISO 31000.
Σύμφωνα με την συγκεκριμένη μέθοδο, η ανάλυση διακινδύνευσης αποτελείται από τα ακόλουθα στάδια, κατά την υλοποίηση των οποίων απαιτείται διαρκή επικοινωνία μεταξύ των εμπλεκόμενων τμημάτων και διευθύνσεων του Οργανισμού:
- Ορισμός του οργανωτικού πλαισίου και των γενικότερων κανόνων
- Προσδιορισμός των κινδύνων που απειλούν αφενός τα υπό επεξεργασία προσωπικά δεδομένα για διαφορετικές κατηγορίες υποκειμένων που συνδιαλέγονται με τον Οργανισμό και αφετέρου την γενικότερη ασφάλεια του Οργανισμού
- Ανάλυση των εντοπισμένων κινδύνων
- Αξιολόγηση των εντοπισμένων κινδύνων
- Αντιμετώπιση / διαχείριση των εντοπισμένων κινδύνων
- Παρακολούθηση υλοποίησης διορθωτικών ενεργειών και επανεξέταση.
Ειδικότερα, ο υπεύθυνος επεξεργασίας δεδομένων προτείνεται να ακολουθεί τα εξής στάδια:
1.Στάδιο Εντοπισμού Κινδύνων (Risk Identification) [**]
Αφορά τον εντοπισμό, την αναγνώριση και την περιγραφή των κινδύνων / απειλών που θα μπορούσαν να επηρεάσουν την ακεραιότητα, την εμπιστευτικότητα ή/και την διαθεσιμότητα των υπό επεξεργασία προσωπικών δεδομένων, καθώς και την ασφαλή λειτουργία ολόκληρου του Οργανισμού. Η έρευνα επεκτείνεται και στην εξέταση των πηγών κινδύνου και των αιτιών που μπορεί να προκαλέσουν τους συγκεκριμένους κινδύνους. Οι γενικότερες συνθήκες που μπορεί να απειλούνται είναι η Ακεραιότητα των δεδομένων (Integrity /αλλοίωση δεδομένων), η Εμπιστευτικότητα των δεδομένων (Confidentiality) και η Διαθεσιμότητα των δεδομένων (Availability).
[**]Ενδεικτικοί κίνδυνοι:
Απώλεια δεδομένων - Κλοπή προσωπικών δεδομένων - Διαρροή προσωπικών δεδομένων - Μη εγκεκριμένη τροποποίηση δεδομένων - Μη ικανοποίηση αιτήματος υποκειμένων δεδομένων - Μη εγκεκριμένη διαγραφή δεδομένων - Αδυναμία λήψης backup / Μη διαθέσιμο backup - Μη προσβασιμότητα σε φακέλους & αρχεία του Οργανισμού - Μη προσβασιμότητα σε διαδικτυακές υπηρεσίες - Σφάλματα χρήσης / Αμέλεια χρηστών - Ελλιπής εκπαίδευση χρηστών σε κανόνες ασφάλειας & προστασίας δεδομένων - Φυσικές καταστροφές - Πυρκαγιά / Πλημμύρα - Φθορά / απώλεια σε hardware - Αστοχία κρίσιμου υλικού - Κίνδυνος μόλυνσης από ιούς και διασπορά - Κυβερνοεπίθεση / Παράνομη εισβολή σε δίκτυο / Hacking - Παρεμπόδιση κυβεροκυκλοφορίας - Λογισμικό ή δράσεις που εκμεταλλεύονται κενά ασφαλείας - Ανεπιθύμητα μηνύματα (spam) – Δολιοφθορά – Παραπληροφόρηση - Πλαστογραφία
Απάτη / Εξαπάτηση - Ακατάλληλο περιεχόμενο κ.ο.κ.
2.Ανάλυση Κινδύνων (Risk Analysis)
Αφορά την κατανόηση των πηγών, των αιτιών και της φύσης των ήδη εντοπισμένων κινδύνων / απειλών για τα υπό επεξεργασία προσωπικά δεδομένα και τον ίδιο τον Οργανισμό, καθώς και την εξέταση των υφιστάμενων μέτρων για την πρόληψη ή την αντιμετώπιση τους. Ακολουθεί ο υπολογισμός της Πιθανότητας να προκύψουν οι εντοπισμένοι κίνδυνοι και η ανάλυση των Συνεπειών / Επιπτώσεων τους, εφόσον οι κίνδυνοι συμβούν.
Η εξέταση επάρκειας των υφιστάμενων ελέγχων και μέτρων ερευνά το αν επαρκούν τα υφιστάμενα μέτρα για την πρόληψη ή τον μετριασμό των κινδύνων, καθώς και για την ανάκαμψη κατόπιν της εμφάνισης τους. Ταυτόχρονα, η αποτελεσματικότητα των υφιστάμενων μέτρων αξιολογείται λαμβάνοντας υπόψη: 1) ποιοι είναι οι υφιστάμενοι έλεγχοι για έναν συγκεκριμένο κίνδυνο και 2) εάν αυτοί οι έλεγχοι είναι ικανοί να αντιμετωπίσουν επαρκώς τον κίνδυνο. Στην πράξη, αξιολογείται αν οι έλεγχοι υλοποιούνται με τον προβλεπόμενο τρόπο και αν μπορούν να αποδειχθούν αποτελεσματικοί, όταν αυτό απαιτηθεί.
Συγκεκριμένα, ένας εντοπισμένος κίνδυνος / ανεπιθύμητο γεγονός σχετικά τα προσωπικά δεδομένα βαθμολογείται ως προς την Πιθανότητα (Π) εμφάνισης ενός κινδύνου και ως προς την Σοβαρότητα (Σ) των συνεπειών του. Και οι 2 παράμετροι μετρούνται με την χρήση 5βάθμιου πίνακα, όπου το 1 είναι απίθανο ένας κίνδυνος να συμβεί ή εάν συμβεί, να έχει μηδαμινές επιπτώσεις. Αντίστοιχα, η αξιολόγηση 5 σημαίνει ότι ένας κίνδυνος είναι σχεδόν σίγουρο ότι θα συμβεί, ενώ εάν συμβεί αναμένεται να έχει καταστροφικές συνέπειες.
- Συχνότητα/πιθανότητα (Π) εμφάνισης εντοπισμένου κινδύνου, λαμβάνοντας υπόψη το γενικότερο επίπεδο προστασίας και τα υφιστάμενα μέτρα προστασίας:
- Σοβαρότητα (Σ) των συνεπειών από τον συγκεκριμένο κίνδυνο / ανεπιθύμητο συμβάν / απειλή για τα προσωπικά δεδομένα, εφόσον εμφανιστεί:
Η εκτίμηση των επιπτώσεων επεκτείνεται και στους πελάτες, το προσωπικό, την Διοίκηση, τις συνεργαζόμενες εταιρείες / εκτελούντες την επεξεργασία, την φήμη του Οργανισμού, τις νομικές και κανονιστικές υποχρεώσεις κ.ο.κ.
Μετά τον υπολογισμό της Πιθανότητας και της Σοβαρότητας, υπολογίζεται η επίπτωση σύμφωνα με το παρακάτω γινόμενο:
Επίπτωση = Σοβαρότητα * Πιθανότητα
Η κατάταξη της επίπτωσης γίνεται σύμφωνα με τον παρακάτω πίνακα:
Στον επόμενο πίνακα παρουσιάζεται συνοπτικά η σχέση μεταξύ πιθανότητας, σοβαρότητας και επίπτωσης:
3.Αξιολόγηση Κινδύνων (Risk Evaluation)
Σε συνέχεια του εντοπισμού και της ανάλυσης των κινδύνων, αποφασίζεται ποιοι κίνδυνοι θα αντιμετωπιστούν, με ποιον τρόπο και με ποια προτεραιότητα. Αυτό το βήμα βοηθά τον Οργανισμό στη λήψη αποφάσεων σχετικά με την ανεκτικότητα και την ιεράρχηση του κάθε κινδύνου, συγκρίνοντας το εκτιμώμενο επίπεδο κινδύνου με τα προ-αποφασιμένα κριτήρια κινδύνου.
4.Αντιμετώπιση Κινδύνων (Post Risk Assessment) [***]
Η διαχείριση των εντοπισμένων κινδύνων περιλαμβάνει πολλές επιλογές, βάσει εκτιμήσεων και αποφάσεων του Οργανισμού, όπως ή αποφυγή του κινδύνου, η αντιμετώπιση ή μετριασμός του, η τροποποίηση της πιθανότητας ή/και επίπτωσης και η αφαίρεση της πηγής του κινδύνου. Μετά την υλοποίηση των μέτρων συνιστάται η επαναξιολόγηση του κινδύνου, για να διαγνωστεί εάν αυτός αντιμετωπίστηκε επαρκώς και να προκύψει ο εναπομείναν κίνδυνος.
[***]Ενδεικτικά Τεχνικά και Οργανωτικά Μέτρα:
Πρόγραμμα συμμόρφωσης με ΓΚΠΔ και κείμενη Νομοθεσία - Πολιτικές / Διαδικασίες διαχείρισης δεδομένων - Διαχείριση αναφοράς και διαχείρισης παραβιάσεων / εισβολών / απώλειας δεδομένων - Business Continuity Plan, Disaster Recovery Plan - Εκπαιδεύσεις εργαζομένων στην ορθή χρήση λογισμικού – Σύμβαση εμπιστευτικότητας δεδομένων με συνεργαζόμενες εταιρείες - Παρακολούθηση υλοποίησης έργου συνεργαζόμενων εταιρειών, Clean desk policy - Γενικότερη ασφάλεια χώρων (εσωτερικών και εξωτερικών) - Λειτουργία κλειστού κυκλώματος τηλεόρασης (CCTV) - Λειτουργία συστήματος πυρανίχνευσης / πυροπροστασίας - Εφαρμογή προγράμματος απεντομώσεων / μυοκτονιών - Ελεγχόμενες συνθήκες κρίσιμων χώρων (control room, φυσικό αρχείο κλπ.) - Πρόγραμμα προληπτικών συντηρήσεων κρίσιμων υποδομών / εξοπλισμού, Απαγόρευση πρόσβασης σε ακατάλληλους ιστότοπους - Απενεργοποίηση / ελεγχόμενες θύρες USB - Δοκιμαστική ανάκτηση ανά τακτά χρονικά διαστήματα - Ελεγχόμενες προσβάσεις / εξουσιοδοτήσεις - Αναβαθμίσεις και προληπτική συντήρηση λογισμικού - Ισχυροί κωδικοί πρόσβασης - Remote backup - Αντιμετώπιση απώλειας δεδομένων (DLP) / Data Loss, Data Leak – FIREWALL – ANTIVIRUS - PENETRATION TEST - Διαχείριση LOG files - Δικαιώματα χρηστών μέσω active directory – Κρυπτογράφηση βάσεων - BYOD/P - VDI (Virtual Desktop Infrastructure) – VPN κ.ο.κ.
5.Ανασκόπηση
Ακόμα και μετά την ολοκλήρωση της ανάλυσης διακινδύνευσης, ο Οργανισμός πρέπει να προχωράει σε διαρκή έλεγχο, αφού οι κίνδυνοι /απειλές μπορεί να είναι δυναμικοί και να διαφοροποιούνται μέσα στον χρόνο, καθιστώντας τα επιλεχθέντα διορθωτικά μέτρα μη αποτελεσματικά. Γενικά, η αξιολόγηση των κινδύνων ανασκοπείται κατά ελάχιστο σε ετήσια βάση ή όποτε προκύπτουν σημαντικές αλλαγών (π.χ. χρήση νέου εξοπλισμού, συλλογή και επεξεργασία νέων δεδομένων, τροποποίηση τρόπου επεξεργασίας κ.λπ.).
* Ο Δημοσθένης Κ. Κωστούλας, GDPR Expert / certified DPO, QMS IRCA Lead Auditor ISO 9001:2015, CQI IRCA Lead Auditor ISO 27001:2013, είναι απόφοιτος του Τμήματος Διεθνών & Ευρωπαϊκών Οικονομικών και Πολιτικών Σπουδών του Πανεπιστημίου Μακεδονίας και κάτοχος των τίτλων MBΑ και MSc in International Business and Finance. Είναι ένας εκ των δύο συγγραφέων του βιβλίου με τίτλο «Η Συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων – Πρακτικά Ζητήματα – Υποδείγματα» (Ιανουάριος 2020, Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ), ενώ ταυτόχρονα, είναι εκπαιδευτής και αρθρογράφος για θέματα προστασίας δεδομένων. Είναι πρώην μέλος του Δ.Σ. του European Association of Data Protection Professional (EADPP), γενικός γραμματέας & επικεφαλής της επιτροπής επικοινωνίας και εκδηλώσεων του Ελληνικού παραρτήματος EADPP, επιστημονικός συνεργάτης του Ευρωμεσογειακού Ινστιτούτου Ποιότητας & Ασφάλειας (EIQSH) και μέλος της Homo Digitalis.
ΒΙΒΛΙΟΓΡΑΦΙΚΕΣ ΑΝΑΦΟΡΕΣ / ΠΗΓΕΣ
-Τσιπτσέ, Ο., Κωστούλας, Δ. (Ιανουάριος 2020), «Η συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR EU 2016/679 – Πρακτικά Ζητήματα Υποδείγματα», Νομικές Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ, Αθήνα
-https://www.homodigitalis.gr/posts/9331, Το Πρόγραμμα Συμμόρφωσης με τον GDPR από μια πρακτική σκοπιά, Δημοσθένης Κ. Κωστούλας, 7 Ιουνίου 2021
-BSI, 2009. BS ISO 31000: Risk management: principles and guidelines, London: British Standards Institution.
-Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων (Αρ. Φύλλου 2186), 6 Μαίου 2025)
-Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679 https://www.dpa.gr/portal/page?_pageid=33,213319&_dad=portal&_schema=PORTAL
-Baybutt P. Calibration of risk matrices for process safety. J Loss Prevent Process Industries. 2015;38:163–168, 2015.
-Wall KD The trouble with risk matrice. DRMI Working Papers Ongoing Research; 2011.
-Duijm NJ. Recommendations on the use and design of risk matrices. Saf Sci. 2015;76:21–31. 2015
-Korombel A, Tworek P. Qualitative risk analysis as a stage of risk management in investment projects: advantages and disadvantages of selected methods-theoretical approach 2011;1(2):51–54
-https://safeti.com/product/workshop-risk-assessment
Ομιλία της Homo Digitalis σε ημερίδα του Υπουργείου Δικαιοσύνης & του Διοικητικού Πρωτοδικείου Αθηνών για την Τεχνητή Νοημοσύνη
Την ερχόμενη Δευτέρα 16/6 η Homo Digitalis έχει τη μεγάλη τιμή να δίνει το παρόν στην Ημερίδα με τίτλο “Τεχνητή Νοημοσύνη στη Δικαιοσύνη”, η οποία διοργανώνεται από το Διοικητικό Πρωτοδικείο Αθηνών στο Αμφιθέατρο Λάμπρος Μαργαρίτης! Η εκδήλωση θα λάβει χώρα από τις 12:00 έως τις 17:00, υπό την αιγίδα του Υπουργείου Δικαιοσύνης.
Ο Στέφανος Βιτωράατος, συνιδρυτής της Homo Digitalis, θα εκπροσωπήσει την οργάνωση μας εκεί, μιλώντας στον 3ο κύκλο συζητήσεων με τίτλο “Περιορισμοί και Κίνδυνοι”.
Τη συζήτηση θα συντονίσει η Σοφία Παπαδημητρίου δικηγόρος, εξωτερική συνεργάτης-ερευνήτρια του University of the Aegean και μέλος του AICatalyst, ενώ σε αυτή συμμετέχουν οι:
-Λίλιαν Μήτρου Καθηγήτρια University of the Aegean & Πρόεδρος του Ινστιτούτου για το Δίκαιο Προστασίας της Ιδιωτικότητας, των Προσωπικών Δεδομένων και την Τεχνολογία του EPLO European Public Law Organization,
-Ιωάννης Αγγέλου, Πρωτοδίκης, και
-Άρης Δημητριάδης, Επιτροπή Δεοντολογίας του Ομίλου Τεχνητής Νοημοσύνης AICatalyst και Executive Director Κανονιστικής Συμμόρφωσης & Διαχείρισης Εταιρικών Κινδύνων OTE Group of Companies (HTO).
H Homo Digitalis ολοκλήρωσε με επιτυχία την ομιλία της στο CPDP2025
Πριν από δύο εβδομάδες η Homo Digitalis συμμετείχε ξανά στο Computers, Privacy and Data Protection Conference (CPDP), μιλώντας στο πάνελ «Προστατεύοντας τα Ψηφιακά Δικαιώματα Αιτούντων Άσυλο και Προσφύγων», που διοργανώθηκε από το Centre for Fundamental Rights – Hertie School!
Ο Λευτέρης Χελιουδάκης από την ομάδα μας, συμμετείχε μαζί με τη Francesca Palmiotto (IE University), τη Derya Ozkul (University of Warwick) και τη Joanna Parkin (EDPS – European Data Protection Supervisor), την Παρασκευή 23.05, στο καταληκτικό πάνελ του συνεδρίου στη Grande Halle!
Μπορείτε να διαβάσετε την πλήρη ανασκόπηση της συζήτησής μας εδώ.
Συγχαρητήρια στην ομάδα διοργάνωσης από το Hertie School και την Ida Reihani για τις εξαιρετικές προσπάθειες και τη συνεργασία!