Στο δεύτερο μέρος της συνέντευξης του κ.Η.Χάτζου για τον κυβερνοπόλεμο και τις κυβερνοεπιθέσεις, η συζήτηση επικεντρώθηκε στην άμυνα που πρέπει να διαμορφώσει μια χώρα σ΄ αυτό το νέο περιβάλλον πολέμου και στο πόσο έτοιμη είναι η Ελλάδα να αντιμετωπίσει τέτοιου είδους απειλές.
•Υπάρχουν άμυνες που μπορούν να είναι αποτελεσματικές ή πρέπει διαρκώς να είμαστε σε μια “αναδιάταξη δυνάμεων” που θα ακολουθεί την εξέλιξη των απειλών;
Η πληροφοριακή ασφάλεια είναι κυλιόμενος στόχος. Ο καιρός που πληροφοριακή ασφάλεια σήμαινε αντι-ιικό πρόγραμμα έχει περάσει ανεπιστρεπτεί. Η πληροφοριακή ασφάλεια πρέπει να γίνει ένα κομμάτι της ευρύτερης στρατηγικής και εθνικής πολιτικής ασφάλειας. Η στρατηγική πρέπει να βασίζεται σε ορθή εκτίμηση του πληροφοριακού κινδύνου, στην συλλογή πληροφοριών και στην καλή γνώση της αξίας των φίλιων πληροφοριών και δομών ούτως ώστε να επικεντρωθεί εκεί η κυρίως αμυντική προσπάθεια.
Θα πρέπει να ξέρετε ότι το μοντέλο άμυνας έχει ουσιαστικά μεταβληθεί με την πρόοδο της τεχνολογίας και πρέπει να βασίζεται όχι στην δυνατότητα μας να υπερασπιστούμε τα πάντα, αυτό δεν γίνεται άλλωστε αν σκεφτεί κανείς την διάχυση και ποσότητα των διαφόρων πολύτιμων πληροφοριών και υποδομών, αλλά αυτές που είναι στρατηγικής σημασίας για την λειτουργία μιας επιχείρησης ή ενός οργανισμού. Ιστορικά η προστασία συστημάτων γινόταν γύρω από ένα συγκεκριμένο μηχάνημα. Πλέον έχουμε ξεφύγει από αυτό το μοντέλο. Η προστασία πρέπει να επικεντρώνεται γύρω από την πληροφορία και την ταυτότητα των χρηστών που έχουν πρόσβαση σε αυτή. Επιπλέον πρέπει να θεωρούμε δεδομένο ότι κάποιες προσβολές θα είναι επιτυχείς. Έτσι η άμυνα μας θα πρέπει να είναι πολυεπίπεδη και δυναμική δηλαδή να έχει βάθος ούτως ώστε να μπορεί να αναχαιτίσει τον εισβολέα σε διαφορετικά σημεία και παράλληλα να μπορεί να προσαρμοστεί στο περιβάλλον απειλών όπως αυτό εξελίσσεται και να μπορεί να ανταπεξέλθει αποτελεσματικά ακόμη και σε μια επιτυχημένη προσβολή επαναφέροντας τα χαμένα ή αλλοιωμένα δεδομένα από εφεδρικά αντίγραφα και φέρνοντας το αμυνόμενο σύστημα στην προ της εισβολής κατάσταση. Μεγάλη σημασία δίνω εκτός από την ίδια την τεχνολογία η οποία διαρκώς εξελίσσεται – ας πούμε σκεφτείτε τι αμυντικό πρόβλημα δημιουργεί η παρουσία κινητών έξυπνων συσκευών που δεν μπορούν πλέον να βρεθούν εντός μιας προστατευόμενης περιμέτρου ή η χρήση μη επανδρωμένων συστημάτων για την συλλογή πληροφοριών ή την καταστροφή στόχων – στην εκπαίδευση των χρηστών και στην μεθοδολογία και τακτικές. Η σωστή ασφάλεια βασίζεται στο τρίπτυχο τεχνολογικά μέσα, άνθρωποι-χρήστες, διαδικασίες-τακτικές. Επίσης μεγάλη σημασία πρέπει να δοθεί στην συλλογή πληροφοριών για την σωστή προετοιμασία της άμυνας μας. Υπάρχουν αυτή τη στιγμή τεχνολογικά εργαλεία που διατίθενται στην αγορά για χαμηλά ποσά και επιτρέπουν σε οποιονδήποτε το επιθυμεί να τα αγοράσει και να εξαπολύσει επίθεση χρησιμοποιώντας τα. Ακόμη πιο ικανοί επιτιθέμενοι αναπτύσσουν τις δικές τους τεχνικές χρησιμοποιώντας αδυναμίες που ούτε οι κατασκευαστές μιας τεχνολογίας ενδεχομένως να γνωρίζουν. Ουσιαστικά ο επιτιθέμενος θα ορίσει το πεδίο της σύγκρουσης ενώ ο αμυνόμενος μπορεί με βεβαιότητα να γνωρίζει ότι θα δεχθεί επίθεση, χωρίς να γνωρίζει όμως πότε, από ποιόν και με τι ή για ποιο σκοπό θα γίνει η επίθεση. Επομένως η αναζήτηση πληροφοριών είναι αποφασιστική για την ετοιμότητα του αμυνόμενου. Στα πλαίσια αυτά θα πρέπει να δούμε και την συνεργασία μεταξύ ιδιωτικού και δημοσίου τομέα που γίνεται σε πολλές άλλες χώρες στην πληροφοριακή ασφάλεια. Ο ιδιωτικός τομέας διαχειρίζεται την κρίσιμη υποδομή σε αναπτυγμένες οικονομίες και είναι αυτός που συχνά θα είναι και στόχος μιας επίθεσης. Έχει συμφέρον και υποχρέωση να συνεργαστεί. Δυστυχώς στην Ελλάδα είμαστε αρκετά πίσω σε αυτό τον τομέα τόσο για πρακτικούς, όσο και για νομικούς και ιδεολογικούς λόγους.
•Η Ελλάδα είναι επαρκώς θωρακισμένη σ΄ αυτό το τομέα; Ρωτάμε γιατί διαβάζουμε ότι γειτονικές χώρες όπως η Τουρκία για παράδειγμα έχει επενδύσει σε χρήμα αλλά και σε εκπαίδευση προσωπικού για τη δημιουργία -να το πω απλά- “κυβερνοστρατού”.
Η Ελλάδα είναι μια ενδιαφέρουσα περίπτωση. Υπάρχουν κάποια καλά σημεία και κάποια λιγότερο καλά σημεία. Σίγουρα η κρίση που όλοι βιώνουμε από την μια ίσως να προωθήσει τεχνολογικές επενδύσεις προκειμένου να αυξηθεί η αποτελεσματικότητα και να μειωθεί η γραφειοκρατία. Από την άλλη η ανάγκη συμπίεσης του κόστους μπορεί να οδηγήσει την ασφάλεια σε δεύτερη μοίρα. Αυτό θα ήταν ιδιαίτερα επικίνδυνο. Πιστεύω ότι έχουμε κατάλληλο ανθρώπινο δυναμικό στην Ελλάδα και σε κάποιους χώρους έχουμε προσωπικό με αξιόλογες γνώσεις. Η αδυναμίες μας βρίσκονται στο να το διατηρήσουμε ειδικά με τις συνθήκες κρίσεις και στο αναπτύξουμε περαιτέρω. Επιπλέον ενώ έχουμε ερευνητικά ιδρύματα που δραστηριοποιούνται στο χώρο και ακόμη και η Symantec συνεργάζεται με Ελληνικά πανεπιστήμια σε Ευρωπαϊκά ερευνητικά προγράμματα σε θέματα ασφάλειας δεν είμαστε σε θέση να εκμεταλλευθούμε αυτό τον πνευματικό πλούτο και να τον αναπτύξουμε μέσα από υγιή επιχειρηματικότητα. Σίγουρα έχουμε κάποιες καλές τεχνολογίες στην διάθεση μας αλλά και κάποιες αδυναμίες σε επίπεδο υποδομής και αυτό εν μέρει οφείλεται και στο ότι ελάχιστοι Έλληνες πολιτικοί έθεσαν την ψηφιακή σύγκλιση ως στόχο και τον επεδίωξαν με αποφασιστικότητα. Η διενέργεια έργων με κοινοτικά κονδύλια δεν αποτελεί κατ’ εμέ απόδειξη αποφασιστικότητας. Οι δαπάνες αυτές πρέπει να γίνονται και καλώς γίνονται αλλά θα πρέπει να γίνονται στην βάση ενός προγράμματος και σχεδιασμού. Αλλιώς κατασκευάζονται αλληλοεπικαλυπτόμενα συστήματα αμφίβολης αποτελεσματικότητας και διαλειτουργικότητας. Ο στόχος δεν θα πρέπει να είναι η αντικατάσταση των σφραγίδων με εκτυπωτές αλλά η αλλαγή της ροής, της χρήσης πληροφορίας και των γραφειοκρατικών δομών ώστε να μπορούμε να εκμεταλλευτούμε την προστιθέμενη αξία της τεχνολογίας. Επιπλέον ειδικά για την Ελλάδα όπως είναι γνωστό άλλωστε υπάρχει μια ξεκάθαρα στρεβλή εικόνα για την σχέση επιχειρηματικότητας και κράτους. Με αποτέλεσμα να μην υπάρχει διάθεση από το δημόσιο συνεργασίας με τον ιδιωτικό τομέα σε Ευρωπαϊκές Συμπράξεις Ιδιωτικού-Δημοσίου τομέα χάνοντας έτσι πολύτιμα κονδύλια και ευκαιρίες τεχνογνωσίας. Αντίστοιχα και από τον ιδιωτικό τομέα υπάρχει δυσπιστία και δεν υπάρχει διάθεση συνεργασίας στην ανταλλαγή πληροφοριών για πληροφοριακές επιθέσεις και απειλές. Το νομοθετικό πλαίσιο επίσης δεν βοηθάει στο σημείο αυτό. Γίνονται βέβαια κάποια βήματα όπως η εθνική πληροφορική άσκηση ασφάλειας «Πανόπτης» που είναι πολύ θετικά όμως ο ιδιωτικός τομέας δεν συμμετέχει ενώ θα έπρεπε κατά γενική ομολογία. Επιπλέον η προσπάθεια αυτή θα πρέπει να συνεχιστεί και να μην χαθεί στην λαίλαπα της κρίσης. Γενικά θα έλεγα ότι προβληματική οργάνωση και ελλιπής μεθοδολογία ενδέχεται να αποδειχθεί πιο ζημιογόνα από την έλλειψη τεχνολογίας και όπως γνωρίζεται η προβληματική οργάνωση είναι «εθνική αδυναμία». Μιλήσατε για κυβερνοστρατό. Δεν μου αρέσει ο όρος γιατί και πάλι είναι προβληματικός. Συχνά χρησιμοποιείται ο όρος cyber-militia ο οποίος όμως μάλλον αναφέρεται σε «ατάκτους κυβερνοπολεμιστές». Χρησιμοποιώντας ένα δίκτυο παραβιασμένων υπολογιστών (botnet) μπορεί να επιτύχει κανείς παρόμοια αποτελέσματα με αυτά που θα μπορούσε να σου προσφέρει μια ομάδα εθελοντών ανάλογα με το στόχο, την μεθοδολογία και τις γνώσεις που απαιτούνται. Εν πάση περιπτώσει επειδή μιλήσατε για την Τουρκία το μόνο που έχω να πω είναι ότι η Τουρκία είναι μια χώρα που έχει θέσει ως εθνικό της στόχο την άνοδο της οικονομίας μέσα και από την ανάπτυξη και προώθηση τεχνολογιών και της εθνικής βιομηχανικής βάσης. Στα πλαίσια αυτά έχει αναπτύξει και δική της τεχνολογία λογισμικού και δομικών στοιχείων ασφάλειας (π.χ. κρυπτογραφία). Η Τουρκία κάνει πολύ καλά και ο δυναμισμός και η συνέπεια με την οποία επιδιώκει τους στόχους της θα πρέπει να είναι παράδειγμα προς μίμηση.
•Πιστεύετε ότι πάμε σε μία εποχή που οι πόλεμοι πλέον θα γίνονται με πληκτρολόγια; Κι αν ναι ,πόσο κοντά είναι αυτή η εποχή;
Ο πόλεμος δεν θα πάψει να γίνεται με όπλα που θα επιδιώκουν την καταστροφή των δυνάμεων του αντιπάλου και την χρήση τεχνολογιών αισθητήρων και επικοινωνιών. Η ύπαρξη έξυπνων όπλων και η χρήση τεχνολογιών ηλεκτρονικού πολέμου τόσο εναντίον τους όσο και εναντίον των αισθητήρων και επικοινωνιών που χρησιμοποιούν είναι ήδη γεγονός.
Επομένως όσο χρησιμοποιούμε περισσότερο ψηφιακά συστήματα για τις επικοινωνίες, τους αισθητήρες ή τον έλεγχο των έξυπνων όπλων και σε αυτό πρέπει να συμπεριλάβουμε και τα μη επανδρωμένα συστήματα τόσο η χρήση κυβερνοεπιθέσεων σαν το επόμενο βήμα στον ηλεκτρονικό πόλεμο που ήδη γνωρίζουμε είναι φυσικό επακόλουθο. Η διαφορά ίσως υπάρχει ότι ενώ στο παρελθόν ο ηλεκτρονικός πόλεμος αφορούσε συνήθως πολεμικά μέσα στο πεδίο της μάχης εδώ θα αφορά και κρίσιμες μη στρατιωτικές υποδομές που χρησιμοποιούν ψηφιακή τεχνολογία. Επιπλέον όπως εξήγησα παραπάνω ένα μεγάλο κομμάτι της στρατηγικής θα αφορά όχι μόνο την δολιοφθορά ή τον αποσυντονισμό και παραπλάνηση των συστημάτων και των χειριστών τους αλλά και την συλλογή πληροφοριών ή την διενέργεια προπαγάνδας.
Ο πόλεμος δεν θα γίνεται μόνο με πληκτρολόγια η αποτελεσματική προστασία των πληκτρολογίων όμως θα είναι ένας αποφασιστικός παράγοντας νίκης στις μελλοντικές συγκρούσεις. Αυτό οι στρατηγικοί σχεδιαστές το έχουν ήδη κατανοήσει. Γι’ αυτό και αντιμετωπίζουν το δίκτυο ως το πέμπτο πεδίο μάχης και έχουν μια συνολικά δικτυοκεντρική προσέγγιση των πολεμικών συγκρούσεων όπου ακόμη και ο οπλίτης αποτελεί τμήμα του δικτύου. Είναι ενδιαφέρον ότι σε πρόσφατες δηλώσεις τους αξιωματούχοι διαφόρων κρατών έχουν αναφερθεί στην δυνατότητα να χρησιμοποιήσουν κυβερνοεπιθέσεις όταν το θεωρήσουν αναγκαίο, ενώ έχουν τονίσει ακόμη και στον πιο «ανθρωπιστικό» χαρακτήρα αυτών των μέσων σε σύγκριση με τα συμβατικά οπλικά συστήματα.
ΔΙΑΒΑΣΤΕ ΕΔΩ ΤΟ ΠΡΩΤΟ ΜΕΡΟΣ ΤΗΣ ΣΥΝΕΝΤΕΥΞΗΣ