Του Νίκου Γεωργόπουλου, MBA, CyRM*

Οι κυβερνοεπιθέσεις είναι πλέον μια απειλή για όλες τις εταιρίες οι οποίες διαχειρίζονται δεδομένα και εμπιστευτικές πληροφορίες αξίας, σε αυτές τις εταιρίες συμπεριλαμβάνονται και οι δικηγορικές λόγω των πληροφοριών που έχουν στην διαθεσή τους.

Μία κυβερνοεπίθεση μπορεί να επηρεάσει τα συστήματα πληροφορικής που χρησιμοποιούν οι δικηγορικές εταιρίες και κυβερνοεγκληματίες να αποκτήσουν εμπιστευτικές πληροφορίες που σχετίζονται με εταιρικές υποθέσεις εταιριών μεγάλων και μικρών όσο και ιδιωτών. Η απώλεια αυτών των δεδομένων μπορεί να φέρει αντιμέτωπη την δικηγορική εταιρία με απαιτήσεις των πελατών της για παραβίαση της ιδιωτικότητας τους και διοικητικά πρόστιμα τα οποία σύμφωνα με την νέα νομοθεσία της ευρωπαϊκής ένωσης, η οποία αναμενεται να υιοθετηθεί, μπορούν να φθάσουν έως και 2% του ετήσιου τζίρου τους.

Οι δικηγορικές εταιρίες διατηρούν συνήθως εμπιστευτικές πληροφορίες που αφορούν υποθέσεις εταιριών πελατών τους, οι οποίες έχουν μεγάλη αξία για τους ανταγωνιστές και αποτελούν στόχο των κυβερνοεγκληματιών και αντικείμενο εκβιασμού από αυτούς. Οι κυβερνοεγκληματίες μπορούν να εκβιάσουν τόσο την δικηγορική εταιρία όσο και την εταιρία πελάτη της.

Οι πελάτες των δικηγορικών εταιριών απαιτούν από αυτές να φροντίζουν για την προστασία των εμπιστευτικών πληροφοριών που τους δίνουν για τον χειρισμό των υποθέσεων που τους αναθέτουν και σταματούν να συνεργάζονται με εταιρίες που υπέστησαν παραβιάσεις των συστημάτων τους γιατί οι επιπτώσεις ενός τέτοιου συμβάντος μπορεί να είναι καταστροφικές.

Οι τράπεζες ζητούν αυστηρότερα μέτρα ασφαλείας από τα δικηγορικά γραφεία που συνεργάζονται ως προϋπόθεση για τη συνέχιση της συνεργασίας τους, λόγω των ευαίσθητων πληροφοριών που δημιουργούν, αποθηκεύουν, και το διανέμουν.

Σύμφωνα με το Citigroup αναμένεται «τα δικηγορικά γραφεία να αποτελέσουν στόχο επιθέσεων από ξένες κυβερνήσεις και χάκερ επειδή εκεί βρίσκονται εμπιστευτικά δεδομένα σχετικά με εταιρικές συμφωνίες και τις στρατηγικές των επιχειρήσεων.

Περιπτώσεις απώλειας δεδομένων μπορούμε να έχουμε:

• κατά την αποχώρηση ενός στελέχους της εταιρίας
• από αποστολή emails που περιέχουν εμπιστευτικές πληροφορίες σε λάθος παραλήπτες
• από την μη σωστή καταστροφή εμπιστευτικών εγράφων
• από την μη σωστή καταστροφή ψηφιακών συσκευών που περιέχουν εμπιστευτικές πληροφορίες
• από απώλεια laptops, tablets ή κινητών τηλεφώνων που έχουν στην κατοχή τους οι εργαζόμενοι στην δικηγορική εταιρία
• από Phishing
• από παραβιάσεις εταιρικών συστημάτων 
• από κυβερνοεπιθέσεις

Η μη σωστή διαχείριση των περιστατικών απώλειας εμπιστευτικών πληροφοριών μπορεί να οδηγήσει άμεσα στην απώλεια της φήμης της εταιρίας, στην απώλεια σημαντικών πελατών και την επιβολή χρηματικών προστίμων από την Αρχή Προστασίας Προσωπικών δεδομένων σύμφωνα με την εκάστοτε ισχύουσα νομοθεσία.

Ο σωστός προγραμματισμός και η λήψη κατάλληλων μέτρων προστασίας, η ύπαρξη διαδικασιών και ενός πλάνου αντιμετώπισης περιστατικών είναι απαραίτητος, όμως ακόμα και μια πολύ καλά οργανωμένη επιχείρηση δεν μπορεί να αντιμετωπίσει εσωτερικά το σύνολο των επιπτώσεων αποτελεσματικά λόγω της έλλειψης εμπειρίας σε ανάλογες καταστάσεις. Καθοριστικός παράγοντας στην μείωση των περιστατικων αυτών είναι η εκπαίδευση του ανθρώπινου δυναμικού της εταιριας.

Πολλές δικηγορικές εταιρίες θεωρούν ότι οι κίνδυνοι που σχετίζονται με απώλεια εμπιστευτικών πληροφοριών και παραβίαση συστημάτων καλύπτονται από το συμβόλαιο της Επαγγελματικής Αστικής Ευθύνης που διαθέτουν κάτι τέτοιο όμως δεν ισχύει.

Τα παραδοσιακά ασφαλιστήρια δεν είναι αρκετά γιατι περιέχουν καλύψεις οι οποίες δεν μπορούν να ανταποκριθούν σε αυτό τον κίνδυνο, γιατί δεν σχεδιάστηκαν για αυτόν τον σκοπό.

Οι επιπτώσεις από παραβίαση συστημάτων και διαρροής εμπιστευτικών πληροφοριών μπορούν να καλυφθούν μόνο από εξειδικευμένα ασφαλιστήρια τα οποία μπορούν να αντιμετωπίσουν ολοκληρωτικά τις συνέπειες κινδύνους που προκαλούν παραβιάσεις συστημάτων.

Για την αντιμετώπιση και διαχείριση περιστατικών παραβίασης συστημάτων και απώλειας εμπιστευτικών πληροφοριών απαιτούνται να καλυφθούν άμεσα και έμμεσα κόστη όπως:

Άμεσα κόστη τα οποία περιλαμβάνουν, επαγγελματικές αμοιβές εξειδικευμένων συμβούλων διαχείρισης περιστατικών παραβάσης συστημάτων, πρόστιμα και έξοδα όπως:

• αμοιβές εξειδικευμένου δικηγόρου
• υπηρεσίες ειδικών ψηφιακης εγκληματολογίας
• υπηρεσίες δημοσίων σχέσεων και επικοινωνίας
• υπηρεσίες τηλεφωνικού κέντρου
• credit monitoring παρακολούθηση συναλλαγών πιστωτικών καρτών
• έξοδα αντικατάστασης στοιχείων ενεργητικού όπως αντικατάσταση της πιστωτικής κάρτας του πελάτη και αντικατάσταση υλικού hardware ή software κ.λπ.
• πρόστιμα για μη τήρηση της νομοθεσίας περί προσωπικών δεδομένων
• έξοδα για την επίτευξη επιχειρησιακής συνέχειας
• αμοιβές που σχετίζονται με ηλεκτρονικό εκβιασμό

Έμμεσα κόστη μπορεί να είναι ακόμα πιο σημαντικά, συμπεριλαμβανομένων:

• μείωση της φήμης της εταιρίας
• την πτώση των εσόδων
• χαμένων επιχειρηματικών ευκαιριών
• απώλειας πελατών
• απώλειας συνεργατών
• αύξηση των αμοιβών των υπηρεσιών τρίτων παρόχων
• κόστη εκπαίδευσης και ευαισθητοποίησης σε θέματα ασφάλειας πληροφοριών του ανθρώπινου δυναμικού της εταιρίας, 
• καθώς και πρόσθετα επαναλαμβανόμενα έξοδα για ελέγχους ασφάλειας.

Δυστυχώς, πολλά από αυτά τα κόστη είναι απρογραμμάτιστα και μπορούν να έχουν αρνητική επίπτωση στην ρευστότητα και τις ταμειακές ροές μιας επιχείρησης.

Η ασφάλιση Cyber Insurance αποτελεί ένα εργαλείο διαχείρισης κινδύνου και αποτελεσματικής διαχείρισης περιστατικών παραβίασης συστημάτων και απώλειας δεδομένων πελατών.

Λαμβάνοντας υπόψη ότι δεν μπορούμε να εξαλείψουμε την πιθανότητα πραγματοποίησης συμβάντων θα πρέπει να μπορούμε να διαχειριστούμε αποτελεσματικά περιστατικά απώλειας δεδομένων και εμπιστευτικών πληροφοριών.

Η ασφάλιση Cyber Insurance προσφέρει εκτός από την κάλυψη των χρηματοοικονομικών επιπτώσεων της εταιρίας και πρόσβαση σε ομάδες ειδικών οι οποίες έχουν αντιμετωπίσει πλήθος περιστατικών. Η πρόσβαση σε ομάδες ειδικών μπορεί να βοηθήσει και να ελαχιστοποιήσει την οικονομική καταστροφή και τη βλάβη της φήμης που μπορεί να συντελεστεί σε σύντομο χρονικό διάστημα.

Λαμβάνοντας υπόψη τις ανάγκες των δικηγορικών εταιριών η Cromar (www.cromar.gr) προσφέρει σε συνεργασία με την Beazley (www.beazley.com) το Beazley Global Breach Solution το οποίο αποτελεί μια συνολική λύση αποτελεσματικής διαχείρισης των κινδύνων παραβίασης συστημάτων και απώλειας δεδομένων και επιτρέπει στις επιχειρήσεις να διαχειριστούν την αυξανόμενη ευθύνη τους και να μετριάσουν τον κίνδυνο να θιγεί η εταιρική φήμη από πιθανή παραβίαση της ασφάλειας των δεδομένων αυτών.

Το Beazley Global Breach Solution προσφέρει εκτός από την κάλυψη των χρηματοοικονομικών επιπτώσεων της εταιρίας και πρόσβαση σε ομάδες ειδικών οι οποίες έχουν αντιμετωπίσει άνω των 2.000 περιστατικών παγκοσμίως.

*Νίκος Γεωργόπουλος, ΜΒΑ, CyRM.
Cyber Risk Advisor
www.cromar.gr 
www.cyberinsurancegreece.com, www.privacyrisksadvisors.com 
CROMAR Coverholder at LLOYD΄S