ανάγνωση σε: 15 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps — 20+ χρόνια εμπειρίας στην κυβερνοασφάλεια
Ένας λογιστής ή ένας επιχειρηματίας σήμερα δεν φυλάει τα στοιχεία των πελατών του σε ένα ντουλάπι με κλειδαριά. Τα φυλάει πίσω από δύο λέξεις: username και password. Λίγοι έχουν σταματήσει να σκεφτούν τι ακριβώς σημαίνει αυτό.
Τρίτη πρωί, 8:30. Σε ένα λογιστικό γραφείο με περίπου 200 πελάτες, μια υπάλληλος ανοίγει τον υπολογιστή της, πληκτρολογεί τον κωδικό της και μπαίνει διαδοχικά στο πρόγραμμα μισθοδοσίας, στο TAXISnet, στο e-banking της εταιρείας και σε ένα σύστημα τιμολόγησης. Σε λιγότερο από πέντε λεπτά έχει «ανοίξει» πρόσβαση σε ΑΦΜ, IBAN, μισθούς, φορολογικές δηλώσεις και προσωπικά στοιχεία εκατοντάδων ανθρώπων: ιδιοκτητών επιχειρήσεων, εργαζομένων, συνεργατών. Δεν το σκέφτεται καν. Είναι η καθημερινότητά της, όπως και κάθε λογιστή ή επιχειρηματία στην Ελλάδα σήμερα.
Αυτή ακριβώς η καθημερινότητα είναι το σημείο που αξίζει να μας απασχολήσει, γιατί κρύβει ένα ρίσκο που σπάνια το βλέπουμε καθαρά.
Τι είναι, τελικά, «προσωπικό δεδομένο»
Με απλά λόγια, προσωπικό δεδομένο είναι κάθε πληροφορία που μπορεί να συνδεθεί με έναν συγκεκριμένο άνθρωπο: ονοματεπώνυμο, ΑΦΜ, αριθμός ταυτότητας ή διαβατηρίου, διεύθυνση, τηλέφωνο, email, IBAN, στοιχεία μισθοδοσίας, οικονομικά και επαγγελματικά στοιχεία. Ένα λογιστικό γραφείο δεν έχει τέτοια δεδομένα για έναν άνθρωπο. Τα έχει για εκατοντάδες.
Υπάρχουν επίσης οι λεγόμενες ειδικές κατηγορίες δεδομένων, στις οποίες ο νόμος δίνει αυξημένη προστασία, για παράδειγμα πληροφορίες υγείας, βιομετρικά ή γενετικά δεδομένα, θρησκευτικές ή πολιτικές πεποιθήσεις. Ένα λογιστικό ή επιχειρηματικό αρχείο σπάνια περιέχει τέτοιου είδους πληροφορίες, αξίζει όμως μια διευκρίνιση που προκαλεί συχνά σύγχυση: ένα password δεν είναι από μόνο του «ευαίσθητο προσωπικό δεδομένο» με τη νομική έννοια του GDPR. Από πλευράς ασφάλειας όμως είναι κάτι εξίσου κρίσιμο: το κλειδί που οδηγεί σε όλα τα υπόλοιπα.
Το username είναι η πόρτα, το password είναι το κλειδί
Σκεφτείτε το σαν ένα γραφείο με πολλές πόρτες. Το username λέει στο σύστημα σε ποια πόρτα θέλετε να μπείτε. Το password είναι το κλειδί που την ανοίγει. Όποιος αποκτήσει και τα δύο, μπορεί να προσποιηθεί ότι είναι εσείς: μπροστά στην τράπεζα, στην ΑΑΔΕ, στο πρόγραμμα μισθοδοσίας.
Γι’ αυτό οι περισσότερες σοβαρές υπηρεσίες σήμερα δεν αρκούνται σε ένα μόνο κλειδί. Ζητούν και δεύτερη επιβεβαίωση: έναν κωδικό μιας χρήσης στο κινητό, μια έγκριση μέσα από εφαρμογή, ένα δακτυλικό αποτύπωμα ή αναγνώριση προσώπου. Αυτό λέγεται έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA), και η λογική του είναι απλή: ακόμη κι αν κάποιος κλέψει το κλειδί, να χρειάζεται κάτι επιπλέον για να περάσει την πόρτα.
Στην πράξη, κάθε επαγγελματίας συναντά αυτό το μοτίβο παντού. Στο e-banking, με κωδικό, εφαρμογή της τράπεζας ή κωδικό μιας χρήσης. Στην ΑΑΔΕ, με τους προσωπικούς κωδικούς TAXISnet και, σε αρκετές υπηρεσίες, με ειδικούς κωδικούς πρόσβασης που προβλέπονται ακριβώς ώστε να μη χρειάζεται να μοιράζεται κανείς τον κύριο κωδικό του με τρίτο πρόσωπο. Σε εταιρικές εφαρμογές, με email, password και επιβεβαίωση από το κινητό.
Ένας μέσος επαγγελματίας σήμερα διατηρεί δεκάδες τέτοιους λογαριασμούς: email, e-banking, TAXISnet, πρόγραμμα μισθοδοσίας, σύστημα τιμολόγησης, cloud αποθήκευση εγγράφων, ίσως και εφαρμογές επικοινωνίας με πελάτες. Είναι ανθρώπινο, όχι αμέλεια, να καταλήγει κανείς να χρησιμοποιεί παραλλαγές του ίδιου κωδικού παντού, ή να τον σημειώνει κάπου «για να μη μπερδεύεται». Το πρόβλημα είναι ότι, αν ένας μόνο από αυτούς τους δεκάδες λογαριασμούς παραβιαστεί, ο ίδιος ή παρόμοιος κωδικός μπορεί να δοκιμαστεί άμεσα και στους υπόλοιπους.
Γιατί αυτό αφορά περισσότερο έναν λογιστή απ’ όσο έναν ιδιώτη
Αν ένας ιδιώτης χάσει τον προσωπικό του κωδικό, το πρόβλημα είναι σοβαρό, αλλά κατά κανόνα δικό του. Αν χαθεί ο κωδικός ενός λογιστικού γραφείου ή μιας επιχείρησης που διαχειρίζεται δεδομένα τρίτων, το πρόβλημα πολλαπλασιάζεται όσοι είναι και οι πελάτες πίσω από αυτόν τον λογαριασμό. Ένα κλεμμένο password γίνεται έτσι κάτι παραπάνω από προσωπικό ατύχημα: μπορεί να είναι η αρχή ενός περιστατικού που αφορά δεκάδες ή εκατοντάδες ανθρώπους που εμπιστεύτηκαν τα στοιχεία τους σε κάποιον άλλον.
Το ερώτημα, λοιπόν, δεν είναι μόνο «τι θα πάθω εγώ αν χάσω τον κωδικό μου». Είναι «τι μπορούν να πάθουν όλοι όσοι μου εμπιστεύθηκαν τα στοιχεία τους». Αυτή είναι η διαφορά που κάθε επαγγελματίας που διαχειρίζεται δεδομένα τρίτων πρέπει να έχει καταλάβει πριν, όχι μετά από ένα περιστατικό.
Στο επόμενο άρθρο της σειράς θα δούμε πώς ακριβώς χάνεται στην πράξη ένα τέτοιο «κλειδί», και πόσο απλό, δυστυχώς, μπορεί να είναι αυτό.
| 5 ΠΡΑΓΜΑΤΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΚΑΝΕΤΕ ΑΥΡΙΟ ΤΟ ΠΡΩΙ 1. Ελέγξτε αν χρησιμοποιείτε τον ίδιο κωδικό σε περισσότερες από μία υπηρεσίες (email, e-banking, TAXISnet, λογιστικό πρόγραμμα). Αν ναι, αλλάξτε τους, έναν προς έναν. 2. Ενεργοποιήστε δεύτερο τρόπο επιβεβαίωσης (MFA) όπου είναι διαθέσιμος, ιδίως στο email και στις τραπεζικές υπηρεσίες. 3. Δείτε ποιοι έχουν πρόσβαση σε ποιους λογαριασμούς στο γραφείο σας και αφαιρέστε προσβάσεις που δεν χρειάζονται πια. 4. Αν διαχειρίζεστε στοιχεία πελατών, καταγράψτε έστω σε μια απλή λίστα τι είδους δεδομένα κρατάτε και πού βρίσκονται. 5. Δοκιμάστε να απαντήσετε: αν χαθεί σήμερα ένας κωδικός του γραφείου, ξέρετε ποιον καλείτε πρώτο; |