Διαχείριση Κινδύνου στον Ψηφιακό Κόσμο - Αγγαρεία ή Αναγκαιότητα;

Γράφει o Ιωάννης Ντόκος*

“Τίποτα στη ζωή δεν είναι βέβαιο παρά μόνο ο θάνατος και οι φόροι”, είπε κάποτε ο Benjamin Franklin (ή κάποιος προκάτοχός του). Η φράση όμως θα μπορούσε κάλλιστα να περιλαμβάνει ακόμα μία συνιστώσα, τον κίνδυνο. “Death, taxes and risk”. Στον ψηφιακό κόσμο, οι εκάστοτε κίνδυνοι είναι μία σταθερά που πρέπει μονίμως να λαμβάνουμε υπόψιν, είτε ως πολίτες, χρήστες προϊόντων ή υπηρεσιών, ή ως ειδήμονες στον κλάδο της διαχείρισης κινδύνων. Ας δούμε πώς η σωστή διαχείριση κινδύνου μπορεί να προσφέρει βεβαιότητα και ασφάλεια στον ψηφιακό χώρο.

Τί σημαίνει κίνδυνος, και γιατί χρήζει προσοχής;

Ο ψηφιακός κόσμος αλλάζει γρήγορα, καθημερινά. Η έννοια του κινδύνου, ωστόσο, είναι σχετικά στατική: κάθε σύστημα, κάθε πρόγραμμα, κάθε άνθρωπος που χρησιμοποιεί τεχνολογία δημιουργεί ένα “άνοιγμα”, ένα τρωτό σημείο. Αυτά τα ανοίγματα δεν είναι από μόνα τους επικίνδυνα, αλλά είναι ευάλωτα σε απειλές που μπορούν να τα εκμεταλλευτούν.  Σκέψου, για παράδειγμα, ένα ελάττωμα σε ένα υπολογιστικό σύστημα μιας μονάδας επεξεργασίας πυρηνικής ενέργειας, μία ελλιπή διαδικασία πρόσβασης σε ευαίσθητα δεδομένα, ένα κακό “σετάρισμα” ενός διακόπτη δικτύου. Το καμπανάκι κινδύνου ηχεί.

Ο κίνδυνος υπάρχει πριν κάνεις οτιδήποτε, είναι “εγγενής”. Είναι εκεί by default, χωρίς να λαμβάνει υπόψη τυχόν μέτρα προστασίας. Όταν οδηγείς ένα ποδήλατο, η οδήγηση και μόνο ενέχει κίνδυνο. Στον ψηφιακό κόσμο, ο εγγενής κίνδυνος προκύπτει από πράγματα όπως η ανθρώπινη απροσεξία, η πολυπλοκότητα των συστημάτων ή η αξία των δεδομένων που μοιράζεσαι με άλλους. Από μόνος του ο κίνδυνος είναι μια βεβαιότητα, μια σταθερά της ζωής. Αυτό δε σημαίνει ότι τον αγνοούμε.

Ωραία ως εδώ. Το γεγονός ότι περνάω το κατώφλι της πόρτας κάθε πρωί είναι μια επικίνδυνη κατάσταση, θεωρητικά. Τί νόημα έχει οποιαδήποτε δράση αν ο κίνδυνος είναι ούτως ή άλλως εκεί; Η επόμενη φάση είναι να αναγνωρίσεις ποιοι κίνδυνοι χρήζουν προσοχής και δράσης. Εδώ χρειάζεται ψυχρή παρατήρηση και λογική σκέψη. Κάποιοι κίνδυνοι είναι πιο σημαντικοί από άλλους, επομένως πρέπει να περάσουν από το “κόσκινο” της διαχείρισης.

Υπολογισμός του κινδύνου

Στην πιο απλή του μορφή, ο κίνδυνος (ψηφιακός και μη) είναι απλά μια συνάρτηση πιθανότητας και αντίκτυπου. Ο εκάστοτε κίνδυνος επιφέρει (αρνητικές) συνέπειες (αντίκτυπος) με κάποια συχνότητα (πιθανότητα). Έχοντας τη δυνατότητα, με τρόπο ποσοτικό (με τη χρήση ακριβών και εμπεριστατωμένων αριθμών, συνήθως νομισματικών για τον αντίκτυπο και μονάδων ετήσιου ποσοστού εμφάνισης για την πιθανότητα) ή ποιοτικό (με πιο αυθαίρετους υπολογισμούς, συνήθως με χρήση κλίμακας από το 1 ως το 5) να υπολογίσουμε τις μεταβλητές της πιθανότητας και του αντικτύπου, μας φέρνει πιο κοντά στον υπολογισμό του κινδύνου.

 

 

Στο παράδειγμα της οδήγησης ποδηλάτου, ένας κίνδυνος είναι η αιφνίδια συνάντησή μου με μία καφέ αρκούδα (και οι δυσάρεστες συνέπειες που θα ακολουθήσουν). Η πιθανότητα να συμβεί αυτό αλλάζει ανάλογα με την περίσταση - εάν οδηγώ το ποδήλατό μου σε κάποια περιοχή του Κορυδαλλού, οι πιθανότητες να συναντήσω την αρκούδα αγγίζουν το μηδέν. Εάν πάλι έχω πάει για ποδηλασία στα βουνά της Πίνδου, η κατάσταση αλλάζει άρδην. Ο αντίκτυπος της συνάντησης με την αρκούδα αλλάζει επίσης. Εάν κουβαλάω σπρέι για αρκούδες ή έχω παρακολουθήσει πολλά βίντεο σχετικά με το πώς να αντιμετωπίσεις μια καφέ αρκούδα (ο υποφαινόμενος έχει παρακολουθήσει ουκ ολίγα τέτοια βίντεο), μπορεί να τη γλιτώσω με μώλωπες και γρατζουνιές (ή ένα σπασμένο ποδήλατο). Εάν πάλι στερούμαι γνώσης και εργαλείων, τα πράγματα δυσκολεύουν.

Εδώ διαφαίνεται και η σημασία των μέτρων προστασίας και η μετάβαση από τον εγγενή στον υπολειμματικό κίνδυνο. Μέσω των μέτρων προστασίας στη διάθεσή μου (σπρέι), μπορώ να χαμηλώσω τον αντίκτυπο της συνάντησης από τον βέβαιο θάνατο, στην εισαγωγή στο νοσοκομείο για ράμματα. Ο υπολειμματικός κίνδυνος είναι ο κίνδυνος που απομένει αφού πάρουμε μέτρα προστασίας κατά αυτού! Τα μέτρα προστασίας είναι αναπόσπαστο κομμάτι της διαχείρισης του κινδύνου.

Τρόποι διαχείρισης κινδύνου

Υπάρχουν τέσσερις ενδεδειγμένοι τρόποι αντιμετώπισης ενός κινδύνου, αφού γίνει αυτός αντιληπτός (και αφού υπολογιστεί ποσοτικά ή ποιοτικά). Οι επιλογές αυτές είναι: αποδοχή, μεταβίβαση, μείωση ή εξάλειψη.

Αποδοχή σημαίνει ότι καταλαβαίνεις τον κίνδυνο και τον κρατάς, όχι παθητικά ή με άγνοια, αλλά με λογική. Κάποιοι κίνδυνοι είναι τόσο μικροί που κοστίζει περισσότερο να τους αντιμετωπίσεις παρά να τους αποδεχτείς. Εάν οδηγώ το ποδήλατό μου στο κέντρο της πόλης, αποδέχομαι την απειροελάχιστη πιθανότητα (0.00001%) να μου επιτεθεί αρκούδα, και απολαμβάνω τη βόλτα μου.

Μεταβίβαση είναι η μετάθεση του κινδύνου σε άλλον (συνήθως μέσω ασφάλειας). Ο κίνδυνος δεν εξαφανίζεται, απλά αλλάζει χέρια. Η ευθύνη παραμένει σε αυτόν που υπόκειται στον κίνδυνο, απλά υπάρχει κάλυψη σε περίπτωση ζημίας λόγω του κινδύνου. Στο σενάριο με την αρκούδα ελπίζω η ασφάλειά μου να καλύπτει τέτοιες επιθέσεις, ή τουλάχιστον η οικογένειά μου να λάβει ένα χρηματικό ποσό (μέσω της ασφάλειας ζωής μου) σε περίπτωση που το σπρέι δε με βοηθήσει.

Μιας και μιλάμε για το σπρέι, αυτό είναι μέθοδος μείωσης του κινδύνου! Μείωση σημαίνει ότι περιορίζεις την πιθανότητα ή τον αντίκτυπο, και πρόκειται για την πιο συνηθισμένη μέθοδο αντιμετώπισης κινδύνων. Εδώ περιλαμβάνεται κάθε μορφή προληπτικής προστασίας. Κάθε μέτρο προστασίας που λαμβάνω στοχεύει στη μείωση του κινδύνου. Εάν έχω πάει για ποδηλασία στα βουνά της Πίνδου με 10 άλλους φίλους, οι πιθανότητες να επιτεθεί η αρκούδα σε εμένα αντί σε έναν από αυτούς μειώνονται ριζικά!.

Εξάλειψη είναι η πιο απόλυτη επιλογή, καθώς απομακρύνεσαι από τον κίνδυνο και την πηγή του. Η εξάλειψη είναι το τελικό ξεκαθάρισμα: η αναγνώριση ότι κάτι δεν επιδέχεται “μπαλώματα”. Υπάρχουν πολλές πεινασμένες αρκούδες στο βουνό που σκοπεύω να επισκεφτώ; Επιλέγω θάλασσα αντί για βουνό και έχω το κεφάλι μου ήσυχο!

Ενώ οι παραπάνω τρόποι αντιμετώπισης κινδύνου είναι όλοι δόκιμοι, υπάρχει μια αντίδραση που δεν είναι θεμιτή - η άγνοια κινδύνου. Το να γνωρίζουμε τον κίνδυνο και να επιλέγουμε συνειδητά να τον αγνοήσουμε θα οδηγήσει αναπόφευκτα σε αρνητικά αποτελέσματα!

Η αντιμετώπιση κινδύνου στον ψηφιακό κόσμο

Κίνδυνοι παρόμοιοι με την τυχαία συνάντηση με την αρκούδα υπάρχουν στον ψηφιακό και διαδικτυακό χώρο, μόνο που αντί για πεινασμένα τετράποδα, συναντούμε χάκερς, κακοστημένες πλατφόρμες, χρήση τεχνητής νοημοσύνης που προσβάλλει τα ανθρώπινα δικαιώματα και ελαττωματικούς εξοπλισμούς. Και με την ίδια λογική όπως την εκδρομή μας στο δάσος, οι κίνδυνοι αυτοί χρήζουν ειδικής μεταχείρισης, λαμβάνοντας υπόψη τις παρακάτω βασικές αρχές:

  1. Η διαχείριση κινδύνου δεν είναι μεμονωμένο συμβάν, αλλά κύκλος. Εντοπίζεις, αξιολογείς, ενεργείς, επανεξετάζεις τακτικά. Ο ψηφιακός κόσμος μεταβάλλεται συνεχώς, πράγμα που  σημαίνει ότι η εικόνα του κινδύνου μεταβάλλεται εξίσου. Ό,τι ήταν ασφαλές το πρωί μπορεί να είναι τρωτό το βράδυ. Η τεχνολογία δεν περιμένει κανέναν - και οι σχετικοί κίνδυνοι πρέπει συνεχώς να καταγράφονται και να αντιμετωπίζονται.
  2. Η ολιστική αντιμετώπιση κινδύνων είναι κρίσιμη. Ένα κενό είναι αρκετό να προκαλέσει ριζικές βλάβες σε πολίτες, χρήστες, επιχειρήσεις. Η μερική προστασία δημιουργεί μια ψευδή αίσθηση ασφάλειας. Στον ψηφιακό χώρο, το αδύναμο σημείο συχνά δεν είναι το πιο εμφανές. Μπορεί να είναι το ξεχασμένο αρχείο, ο ανεπαρκής κωδικός, ο εξωτερικός συνεργάτης που χρησιμοποιεί μια εύθραυστη εφαρμογή. Απαιτείται επομένως συνολική θεώρηση.
  3. Χρειάζεται επίσης κατανόηση ότι ο κίνδυνος δεν είναι μόνο τεχνικός, αλλά και οργανωτικός, ανθρώπινος, ή διαδικαστικός. Στην πράξη, οι περισσότερες ζημιές προκύπτουν από λάθη, παραλείψεις, ή ασυνεννοησία. Η τεχνολογία απλώς οξύνει τις συνέπειες. Επομένως είναι απαραίτητο να τον αντιμετωπίζουμε από πολλές διαφορετικές πλευρές.
  4. Η επίγνωση και εκπαίδευση σε θέματα προστασίας πληροφοριών και δεδομένων είναι κλειδί στη μείωση κινδύνων. Όσο κι αν οργανωθείς, πάντα θα υπάρχει κάποιος να γράψει τους κωδικούς του σε κοινή θέα, να ανοίξει το λάθος αρχείο, να πατήσει κατά λάθος «διαγραφή». Το ανθρώπινο στοιχείο δεν εξαλείφεται.
  5. Πάντα η πρόληψη είναι φθηνότερη από την αποκατάσταση. Για τον απλό χρήστη, η διαχείριση κινδύνων ίσως μοιάζει με αγγαρεία, η πραγματικότητα όμως είναι ότι ο κόσμος της τεχνολογίας έχει μεγαλώσει τόσο, που η άγνοια κινδύνου κοστίζει. Όπως κανείς δεν περιμένει να βάλει συναγερμό αφού γίνει διάρρηξη, έτσι και η διαχείριση κινδύνου λειτουργεί καλύτερα πριν συμβεί το κακό.

Η ουσία της διαχείρισης κινδύνου είναι η στοχευμένη καθαρότητα: παρόλο που η απόλυτη ασφάλεια δεν είναι εφικτή, επιδιώκουμε την σταθερότητα προσπαθώντας να αποφύγουμε τα σημαντικά λάθη. Όταν καταλάβεις αυτό, η διαχείριση κινδύνου παύει να είναι βάρος. Γίνεται οργανωμένη και συντονισμένη προσπάθεια, και μετά συνήθεια. Ένα είδος νοητικού τεστ όπου ρωτάς: “Τι μπορεί να πάει στραβά; Πόσο με νοιάζει; Τι κάνω για αυτό;”. Όχι ως άσκηση φόβου, αλλά ως άσκηση καθαρού συλλογισμού και προστασίας. Ο κίνδυνος πάντα θα υπάρχει. Η διαχείρισή του είναι συνειδητή επιλογή, και η επίγνωσή του εργαλείο.

* Ο Ιωάννης Ντόκος είναι ειδικός διαχείρισης κινδύνου τεχνολογιών πληροφορίας (IT), προστασίας πληροφοριών και διαχείρισης κινδύνου τρίτων μερών, ενώ έχει γνώσεις στην προστασία προσωπικών δεδομένων. Ειδικεύεται στον ISO27001, NIST, NIS2 και τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ). Στον ελεύθερό του χρόνο προσφέρει συμβουλές σταδιοδρομίας σε θέματα διακυβέρνησης πληροφορικής, κινδύνου και συμμόρφωσης μέσω του καναλιού του στο YouTube.

by Homo Digitalis

ΔΙΑΧΕΙΡΙΣΗ ΔΙΑΚΙΝΔΥΝΕΥΣΗΣ ΣΧΕΤΙΚΑ ΜΕ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΠΡΟΣΩΠΙΚΩΝ ΔΕΔΟΜΕΝΩΝ

Γράφει o Δημοσθένης Κωστούλας, ΜΒΑ, MSc, BSc*

Με αφορμή την πολύ πρόσφατη δημοσίευση του «Εθνικού Πλαισίου Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων» (6/5/2025), υπενθυμίζεται σε όλους η σημαντικότητα της διενέργειας εκτίμησης κινδύνων (risk assessment) που απειλούν την ασφάλεια των συστημάτων δικτύου και πληροφοριών. Ειδικότερα για τα προσωπικά δεδομένα, κάθε ολοκληρωμένο πρόγραμμα συμμόρφωσης πρέπει όντως να περιλαμβάνει μια ολοκληρωμένη Ανάλυση Διακινδύνευσης (Risk Assessment). Αν και η ενδεδειγμένη μέθοδος για την εκτίμηση του επιπέδου ασφάλειας σύμφωνα με τα οριζόμενα στις διατάξεις του άρθρου 35 του ΓΚΠΔ σχετικά με την προστασία δεδομένων (υψηλού κινδύνου) είναι η υλοποίηση της Μελέτης Αντικτύπου (Data Privacy Impact Analysis - DPIA), εντούτοις συστήνεται να διενεργείται (και) μια γενικότερη ανάλυση διακινδύνευσης για το σύνολο των κινδύνων / απειλών. Σύμφωνα με τις γενικότερες επιταγές ασφάλειας (άρθρο 32 του ΓΚΠΔ), η Ανάλυση Διακινδύνευσης πρέπει να σχετίζεται με τα ευρήματα που εντοπίζονται από την φάση της αρχικής Χαρτογράφησης (Data Mapping) και να υλοποιείται τόσο ΠΡΙΝ, όσο και ΜΕΤΑ από την εφαρμογή των κατάλληλων τεχνικών και οργανωτικών μέτρων για την προστασία των προσωπικών  δεδομένων.

Κίνδυνος / Απειλή ορίζεται ως η πιθανότητα ή απειλή ζημίας, απώλειας ή αρνητικής συνέπειας σε ευαίσθητα περιεχόμενα / πληροφορίες και προσωπικά δεδομένα, με αρνητική επίπτωση στα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων (και ειδικότερα το δικαίωμα τους στην προστασία των δεδομένων) ή/και την απρόσκοπτη λειτουργία του Οργανισμού (ως υπεύθυνος επεξεργασίας). Οι κίνδυνοι μπορεί να προέρχονται τόσο από εγγενείς όσο και από εξωγενείς παράγοντες και μπορούν να μετριαστούν με κατάλληλα μέτρα. Η Διαχείριση Διακινδύνευσης αφορά το σύνολο διαδικασιών που σχετίζονται με τον εντοπισμό, την αξιολόγηση και την αντιμετώπιση των παραπάνω κινδύνων.

 

Στάδια Υλοποίησης

Για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την Διαχείριση Διακινδύνευσης σχετικά με τα προσωπικά δεδομένα, ένας Οργανισμός (ως υπεύθυνος επεξεργασίας) συστήνεται να υιοθετήσει την μέθοδο DMRA (Decision Matrix Risk Assessment technique), μια συστηματική προσέγγιση που χρησιμοποιείται για τον αρχικό προσδιορισμό του επιπέδου κινδύνου (Risk Level) και τη σύγκριση διαφορετικών κινδύνων. Πρόκειται για ένα ευρέως χρησιμοποιούμενο εργαλείο για την ανάλυση, την αξιολόγηση και τον καθορισμό προτεραιοτήτων ως προς την διαχείριση κινδύνων, βάσει και του διεθνούς προτύπου ISO 31000.

Σύμφωνα με την συγκεκριμένη μέθοδο, η ανάλυση διακινδύνευσης αποτελείται από τα ακόλουθα στάδια, κατά την υλοποίηση των οποίων απαιτείται διαρκή επικοινωνία μεταξύ των εμπλεκόμενων τμημάτων και διευθύνσεων του Οργανισμού:

  • Ορισμός του οργανωτικού πλαισίου και των γενικότερων κανόνων
  • Προσδιορισμός των κινδύνων που απειλούν αφενός τα υπό επεξεργασία προσωπικά δεδομένα για διαφορετικές κατηγορίες υποκειμένων που συνδιαλέγονται με τον Οργανισμό και αφετέρου την γενικότερη ασφάλεια του Οργανισμού
  • Ανάλυση των εντοπισμένων κινδύνων
  • Αξιολόγηση των εντοπισμένων κινδύνων
  • Αντιμετώπιση / διαχείριση των εντοπισμένων κινδύνων
  • Παρακολούθηση υλοποίησης διορθωτικών ενεργειών και επανεξέταση.

Ειδικότερα, ο υπεύθυνος επεξεργασίας δεδομένων προτείνεται να ακολουθεί τα εξής στάδια:

1.Στάδιο Εντοπισμού Κινδύνων (Risk Identification) [**]

Αφορά τον εντοπισμό, την αναγνώριση και την περιγραφή των κινδύνων / απειλών που θα μπορούσαν να επηρεάσουν την ακεραιότητα, την εμπιστευτικότητα ή/και την διαθεσιμότητα των υπό επεξεργασία προσωπικών δεδομένων, καθώς και την ασφαλή λειτουργία ολόκληρου του Οργανισμού. Η έρευνα επεκτείνεται και στην εξέταση των πηγών κινδύνου και των αιτιών που μπορεί να προκαλέσουν τους συγκεκριμένους κινδύνους. Οι γενικότερες συνθήκες που μπορεί να απειλούνται είναι η Ακεραιότητα των δεδομένων (Integrity /αλλοίωση δεδομένων), η Εμπιστευτικότητα των δεδομένων (Confidentiality) και η Διαθεσιμότητα των δεδομένων (Availability).

[**]Ενδεικτικοί κίνδυνοι:

Απώλεια δεδομένων - Κλοπή προσωπικών δεδομένων - Διαρροή προσωπικών δεδομένων - Μη εγκεκριμένη τροποποίηση δεδομένων - Μη ικανοποίηση αιτήματος υποκειμένων δεδομένων - Μη εγκεκριμένη διαγραφή δεδομένων - Αδυναμία λήψης backup / Μη διαθέσιμο backup - Μη προσβασιμότητα σε φακέλους & αρχεία του Οργανισμού - Μη προσβασιμότητα σε διαδικτυακές υπηρεσίες - Σφάλματα χρήσης / Αμέλεια χρηστών - Ελλιπής εκπαίδευση χρηστών σε κανόνες ασφάλειας & προστασίας δεδομένων - Φυσικές καταστροφές - Πυρκαγιά / Πλημμύρα - Φθορά / απώλεια σε hardware - Αστοχία κρίσιμου υλικού - Κίνδυνος μόλυνσης από ιούς και διασπορά - Κυβερνοεπίθεση / Παράνομη εισβολή σε δίκτυο / Hacking - Παρεμπόδιση κυβεροκυκλοφορίας - Λογισμικό ή δράσεις που εκμεταλλεύονται κενά ασφαλείας - Ανεπιθύμητα μηνύματα (spam) – Δολιοφθορά – Παραπληροφόρηση - Πλαστογραφία

Απάτη / Εξαπάτηση - Ακατάλληλο περιεχόμενο κ.ο.κ.

 

2.Ανάλυση Κινδύνων (Risk Analysis)

Αφορά την κατανόηση των πηγών, των αιτιών και της φύσης των ήδη εντοπισμένων κινδύνων / απειλών για τα υπό επεξεργασία προσωπικά δεδομένα και τον ίδιο τον Οργανισμό, καθώς και την εξέταση των υφιστάμενων μέτρων για την πρόληψη ή την αντιμετώπιση τους. Ακολουθεί ο υπολογισμός της Πιθανότητας να προκύψουν οι εντοπισμένοι κίνδυνοι και η ανάλυση των Συνεπειών / Επιπτώσεων τους, εφόσον οι κίνδυνοι συμβούν.

Η εξέταση επάρκειας των υφιστάμενων ελέγχων και μέτρων ερευνά το αν επαρκούν τα υφιστάμενα μέτρα για την πρόληψη ή τον μετριασμό των κινδύνων, καθώς και για την ανάκαμψη κατόπιν της εμφάνισης τους. Ταυτόχρονα, η αποτελεσματικότητα των υφιστάμενων μέτρων αξιολογείται λαμβάνοντας υπόψη: 1) ποιοι είναι οι υφιστάμενοι έλεγχοι για έναν συγκεκριμένο κίνδυνο και 2) εάν αυτοί οι έλεγχοι  είναι ικανοί να αντιμετωπίσουν επαρκώς τον κίνδυνο. Στην πράξη, αξιολογείται αν οι έλεγχοι υλοποιούνται με τον προβλεπόμενο τρόπο και αν μπορούν να αποδειχθούν αποτελεσματικοί, όταν αυτό απαιτηθεί.

Συγκεκριμένα, ένας εντοπισμένος κίνδυνος / ανεπιθύμητο γεγονός σχετικά τα προσωπικά δεδομένα βαθμολογείται ως προς την Πιθανότητα (Π) εμφάνισης ενός κινδύνου και ως προς την Σοβαρότητα (Σ) των συνεπειών του. Και οι 2 παράμετροι μετρούνται με την χρήση 5βάθμιου πίνακα, όπου το 1 είναι απίθανο ένας κίνδυνος να συμβεί ή εάν συμβεί, να έχει μηδαμινές επιπτώσεις. Αντίστοιχα, η αξιολόγηση 5 σημαίνει ότι ένας κίνδυνος είναι σχεδόν σίγουρο ότι θα συμβεί, ενώ εάν συμβεί αναμένεται να έχει καταστροφικές συνέπειες.

  • Συχνότητα/πιθανότητα (Π) εμφάνισης εντοπισμένου κινδύνου, λαμβάνοντας υπόψη το γενικότερο επίπεδο προστασίας και τα υφιστάμενα μέτρα προστασίας:

  • Σοβαρότητα (Σ) των συνεπειών από τον συγκεκριμένο κίνδυνο / ανεπιθύμητο συμβάν / απειλή για τα προσωπικά δεδομένα, εφόσον εμφανιστεί:

Η εκτίμηση των επιπτώσεων επεκτείνεται και στους πελάτες, το προσωπικό, την Διοίκηση, τις συνεργαζόμενες εταιρείες / εκτελούντες την επεξεργασία, την φήμη του Οργανισμού, τις νομικές και κανονιστικές υποχρεώσεις κ.ο.κ.

Μετά τον υπολογισμό της Πιθανότητας και της Σοβαρότητας, υπολογίζεται η επίπτωση σύμφωνα με το παρακάτω γινόμενο:

Επίπτωση = Σοβαρότητα * Πιθανότητα

Η κατάταξη της επίπτωσης γίνεται σύμφωνα με τον παρακάτω πίνακα:

Στον επόμενο πίνακα παρουσιάζεται συνοπτικά η σχέση μεταξύ πιθανότητας, σοβαρότητας και επίπτωσης:

3.Αξιολόγηση Κινδύνων (Risk Evaluation)

Σε συνέχεια του εντοπισμού και της ανάλυσης των κινδύνων, αποφασίζεται ποιοι κίνδυνοι θα αντιμετωπιστούν, με ποιον τρόπο και με ποια προτεραιότητα. Αυτό το βήμα βοηθά τον Οργανισμό στη λήψη αποφάσεων σχετικά με την ανεκτικότητα και την ιεράρχηση του κάθε κινδύνου, συγκρίνοντας το εκτιμώμενο επίπεδο κινδύνου με τα προ-αποφασιμένα κριτήρια κινδύνου.

 

4.Αντιμετώπιση Κινδύνων (Post Risk Assessment) [***]

Η διαχείριση των εντοπισμένων κινδύνων περιλαμβάνει πολλές επιλογές, βάσει εκτιμήσεων και αποφάσεων του Οργανισμού, όπως ή αποφυγή του κινδύνου, η αντιμετώπιση ή μετριασμός του, η τροποποίηση της πιθανότητας ή/και επίπτωσης και η αφαίρεση της πηγής του κινδύνου. Μετά την υλοποίηση των μέτρων συνιστάται η επαναξιολόγηση του κινδύνου, για να διαγνωστεί εάν αυτός αντιμετωπίστηκε επαρκώς και να προκύψει ο εναπομείναν κίνδυνος.

 

[***]Ενδεικτικά Τεχνικά και Οργανωτικά Μέτρα:

Πρόγραμμα συμμόρφωσης με ΓΚΠΔ και κείμενη Νομοθεσία - Πολιτικές / Διαδικασίες διαχείρισης δεδομένων - Διαχείριση αναφοράς και διαχείρισης παραβιάσεων / εισβολών / απώλειας δεδομένων - Business Continuity Plan, Disaster Recovery Plan - Εκπαιδεύσεις εργαζομένων στην ορθή χρήση λογισμικού – Σύμβαση εμπιστευτικότητας δεδομένων με συνεργαζόμενες εταιρείες - Παρακολούθηση υλοποίησης έργου συνεργαζόμενων εταιρειών, Clean desk policy - Γενικότερη ασφάλεια χώρων (εσωτερικών και εξωτερικών) - Λειτουργία κλειστού κυκλώματος τηλεόρασης (CCTV) - Λειτουργία συστήματος πυρανίχνευσης / πυροπροστασίας - Εφαρμογή προγράμματος απεντομώσεων / μυοκτονιών - Ελεγχόμενες συνθήκες κρίσιμων χώρων (control room, φυσικό αρχείο κλπ.) - Πρόγραμμα προληπτικών συντηρήσεων κρίσιμων υποδομών / εξοπλισμού, Απαγόρευση πρόσβασης σε ακατάλληλους ιστότοπους - Απενεργοποίηση / ελεγχόμενες θύρες USB - Δοκιμαστική ανάκτηση ανά τακτά χρονικά διαστήματα  - Ελεγχόμενες προσβάσεις / εξουσιοδοτήσεις - Αναβαθμίσεις και προληπτική συντήρηση λογισμικού - Ισχυροί κωδικοί πρόσβασης - Remote backup - Αντιμετώπιση απώλειας δεδομένων (DLP) / Data Loss, Data Leak – FIREWALL – ANTIVIRUS - PENETRATION TEST - Διαχείριση LOG files - Δικαιώματα χρηστών μέσω active directory – Κρυπτογράφηση βάσεων - BYOD/P - VDI (Virtual Desktop Infrastructure) – VPN κ.ο.κ.

5.Ανασκόπηση

Ακόμα και μετά την ολοκλήρωση της ανάλυσης διακινδύνευσης, ο Οργανισμός πρέπει να προχωράει σε διαρκή έλεγχο, αφού οι κίνδυνοι /απειλές μπορεί να είναι δυναμικοί και να διαφοροποιούνται μέσα στον χρόνο, καθιστώντας τα επιλεχθέντα διορθωτικά μέτρα μη αποτελεσματικά. Γενικά, η αξιολόγηση των κινδύνων ανασκοπείται κατά ελάχιστο σε ετήσια βάση ή όποτε προκύπτουν σημαντικές αλλαγών (π.χ. χρήση νέου εξοπλισμού, συλλογή και επεξεργασία νέων δεδομένων, τροποποίηση τρόπου επεξεργασίας κ.λπ.).

 

* Ο Δημοσθένης Κ. Κωστούλας, GDPR Expert / certified DPO, QMS IRCA Lead Auditor ISO 9001:2015, CQI IRCA Lead Auditor ISO 27001:2013, είναι απόφοιτος του Τμήματος Διεθνών & Ευρωπαϊκών Οικονομικών και Πολιτικών Σπουδών του Πανεπιστημίου Μακεδονίας και κάτοχος των τίτλων MBΑ και MSc in International Business and Finance. Είναι ένας εκ των δύο συγγραφέων του βιβλίου με τίτλο «Η Συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων – Πρακτικά Ζητήματα – Υποδείγματα» (Ιανουάριος 2020, Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ), ενώ ταυτόχρονα, είναι εκπαιδευτής και αρθρογράφος για θέματα προστασίας δεδομένων. Είναι πρώην μέλος του Δ.Σ. του European Association of Data Protection Professional (EADPP), γενικός γραμματέας & επικεφαλής της επιτροπής επικοινωνίας και εκδηλώσεων του Ελληνικού παραρτήματος EADPP, επιστημονικός συνεργάτης του Ευρωμεσογειακού Ινστιτούτου Ποιότητας & Ασφάλειας (EIQSH) και μέλος της Homo Digitalis.

 

ΒΙΒΛΙΟΓΡΑΦΙΚΕΣ ΑΝΑΦΟΡΕΣ / ΠΗΓΕΣ

-Τσιπτσέ, Ο., Κωστούλας, Δ. (Ιανουάριος 2020), «Η συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων GDPR EU 2016/679 – Πρακτικά Ζητήματα Υποδείγματα», Νομικές Εκδόσεις ΝΟΜΟΡΑΜΑ.ΝΤ, Αθήνα

-https://www.homodigitalis.gr/posts/9331, Το Πρόγραμμα Συμμόρφωσης με τον GDPR από μια πρακτική σκοπιά, Δημοσθένης Κ. Κωστούλας, 7 Ιουνίου 2021

-BSI, 2009. BS ISO 31000: Risk management: principles and guidelines, London: British Standards Institution.

-Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων (Αρ. Φύλλου 2186), 6 Μαίου 2025)

-Γενικός Κανονισμός Προστασίας Δεδομένων (ΕΕ) 2016/679  https://www.dpa.gr/portal/page?_pageid=33,213319&_dad=portal&_schema=PORTAL

-Baybutt P. Calibration of risk matrices for process safety. J Loss Prevent Process Industries. 2015;38:163–168, 2015.

-Wall KD The trouble with risk matrice. DRMI Working Papers Ongoing Research; 2011.

-Duijm NJ. Recommendations on the use and design of risk matrices. Saf Sci. 2015;76:21–31. 2015

-Korombel A, Tworek P. Qualitative risk analysis as a stage of risk management in investment projects: advantages and disadvantages of selected methods-theoretical approach 2011;1(2):51–54

-https://safeti.com/product/workshop-risk-assessment

 

by Homo Digitalis