Η κυβερνοασφάλεια περνά από το IT στο real estate και τα “έξυπνα κτίρια”

Ταυτόχρονα, όμως, η αυξανόμενη συνδεσιμότητα δημιουργεί νέους κινδύνους κυβερνοασφάλειας, μετατρέποντας την προστασία των ψηφιακών υποδομών σε κρίσιμο ζήτημα για το real estate.

Οπως αναφέρουν οι Paul Tostevin και Tim Spencer της Savills, τα σύγχρονα κτίρια βασίζονται πλέον σε ένα ευρύ οικοσύστημα διασυνδεδεμένων τεχνολογιών. Συστήματα όπως Building Management Systems (BMS), πλατφόρμες παρακολούθησης ενέργειας, εφαρμογές για μισθωτές και συστήματα συντήρησης παράγουν σημαντικό όγκο δεδομένων και βελτιώνουν την επιχειρησιακή λειτουργία.

Κάθε νέα διασυνδεδεμένη τεχνολογία, ωστόσο, προσθέτει και ένα νέο πιθανό σημείο εισόδου για μια κυβερνοεπίθεση.

Μια επιτυχημένη επίθεση μπορεί να οδηγήσει από κλοπή ή παραβίαση δεδομένων και ransomware έως, σε πρακτικό επίπεδο, απώλεια ελέγχου κρίσιμων λειτουργιών ενός κτιρίου, όπως οι ανελκυστήρες, ο φωτισμός και τα συστήματα θέρμανσης, εξαερισμού και κλιματισμού (HVAC).

Καθώς τα κτίρια γίνονται ολοένα πιο «έξυπνα» και διασυνδεδεμένα, η κυβερνοασφάλεια παύει να αποτελεί αποκλειστικά ζήτημα των τμημάτων πληροφορικής.

Πλέον συνδέεται άμεσα με τη διαχείριση ακινήτων, την επιχειρησιακή ανθεκτικότητα και τον συνολικό επιχειρηματικό κίνδυνο. Η εξέλιξη της τεχνητής νοημοσύνης ενισχύει περαιτέρω αυτή την τάση. Από τη μία πλευρά, η AI προσφέρει νέα εργαλεία για τον εντοπισμό απειλών και την παρακολούθηση συστημάτων. Από την άλλη, μπορεί να αξιοποιηθεί από επιτιθέμενους για την αυτοματοποίηση επιθέσεων, τον εντοπισμό ευπαθειών και την ταχύτερη κλιμάκωση κακόβουλων ενεργειών.

Έτσι, όσο αυξάνεται η ψηφιοποίηση των κτιρίων, αυξάνεται ταυτόχρονα η ανάγκη για συστηματική διαχείριση των ψηφιακών κινδύνων.

Το πρόβλημα της περιορισμένης ορατότητας

Ένα από τα σημαντικότερα προβλήματα για τους ιδιοκτήτες και διαχειριστές ακινήτων είναι ότι συχνά δεν υπάρχει πλήρης εικόνα του συνόλου των συνδεδεμένων συστημάτων. Οπως λέει η Savills, η ευθύνη για την τεχνολογία ενός κτιρίου μπορεί να μοιράζεται μεταξύ ιδιοκτητών, εταιρειών διαχείρισης, ομάδων facility management και εξωτερικών προμηθευτών. Ως αποτέλεσμα, μπορεί να μην υπάρχει ένας ενιαίος μηχανισμός που να καταγράφει κάθε συσκευή, εφαρμογή και σημείο πρόσβασης σε ένα κτίριο ή σε ένα ολόκληρο χαρτοφυλάκιο ακινήτων.

Επιπλέον, τα παλαιότερα συστήματα δημιουργούν πρόσθετες δυσκολίες. Η σύνδεση σύγχρονων δικτύων με παλαιότερες υποδομές μπορεί να δημιουργήσει κενά ασφαλείας, ιδιαίτερα όταν δεν έχει προηγηθεί συνολικός έλεγχος για το κατά πόσο όλα τα συστήματα είναι επαρκώς ενσωματωμένα και προστατευμένα.

Πώς μπορούν να περιοριστούν οι κίνδυνοι

Η αντιμετώπιση των κυβερνοκινδύνων στα κτίρια απαιτεί μια οργανωμένη προσέγγιση και όχι αποσπασματικά μέτρα. Ένα πρώτο βήμα είναι η ενσωμάτωση του cyber risk framework στο συνολικό πλαίσιο διαχείρισης κινδύνων και επιχειρησιακής ανθεκτικότητας ενός οργανισμού ή ενός κτιρίου.

Απαραίτητη θεωρείται η συστηματική καταγραφή όλων των συστημάτων και των συσκευών που είναι συνδεδεμένα στο δίκτυο. Τακτικοί έλεγχοι και επικαιροποιημένα inventories μπορούν να εντοπίζουν ξεχασμένες συσκευές, μη διαχειριζόμενα συστήματα και άλλα σημεία ευπάθειας.

Τα ευρήματα θα πρέπει να καταγράφονται σε ένα ενεργό risk register, το οποίο δεν θα λειτουργεί απλώς ως αρχείο, αλλά ως εργαλείο συνεχούς διαχείρισης και ελέγχου.

Κρίσιμος ο έλεγχος πρόσβασης

Ιδιαίτερη σημασία έχει ο έλεγχος πρόσβασης στα συστήματα. Μέτρα όπως η πολυπαραγοντική ταυτοποίηση (MFA), ο σαφής καθορισμός δικαιωμάτων χρηστών και η άμεση κατάργηση πρόσβασης όταν ένας εργαζόμενος αλλάζει ρόλο ή όταν ένα σύστημα παύει να χρησιμοποιείται μπορούν να περιορίσουν σημαντικά την έκθεση.

Παράλληλα, τα συστήματα Wi-Fi και επικοινωνιών δεδομένων των κτιρίων θα πρέπει, όπου είναι εφικτό, να διαχωρίζονται από τα εταιρικά δίκτυα πληροφορικής. Ο διαχωρισμός αυτός περιορίζει τον κίνδυνο μια παραβίαση ενός συστήματος να επεκταθεί σε άλλα κρίσιμα συστήματα του οργανισμού.

Οι προμηθευτές αποτελούν κρίσιμο κρίκο

Σημαντικό μέρος του κινδύνου βρίσκεται και εκτός του ίδιου του κτιρίου. Οι ιδιοκτήτες και οι μισθωτές συνεργάζονται με μεγάλο αριθμό τρίτων παρόχων για τη λειτουργία, τη συντήρηση και την υποστήριξη των συστημάτων. Για τον λόγο αυτό, θα πρέπει να διασφαλίζεται ότι οι προμηθευτές εφαρμόζουν επαρκή πρότυπα κυβερνοασφάλειας, πραγματοποιούν έγκαιρα τις απαραίτητες ενημερώσεις λογισμικού και διαθέτουν σαφώς καθορισμένους κανόνες πρόσβασης.

Οι σχετικές απαιτήσεις μπορούν να ενσωματώνονται και στις συμφωνίες παροχής υπηρεσιών, ώστε οι υποχρεώσεις κάθε πλευράς να είναι σαφείς. Η ανθεκτικότητα ενός «έξυπνου» κτιρίου δεν σταματά επομένως στα όρια της ιδιοκτησίας, αλλά εξαρτάται και από την ασφάλεια ολόκληρης της εφοδιαστικής και τεχνολογικής αλυσίδας.

Προετοιμασία και για το χειρότερο σενάριο

Η πρόληψη δεν αρκεί. Οι ιδιοκτήτες και οι διαχειριστές κτιρίων θα πρέπει να διαθέτουν και σχέδια αντιμετώπισης περιστατικών κυβερνοασφάλειας. Οι διαδικασίες διαχείρισης συμβάντων θα πρέπει να δοκιμάζονται τακτικά και να συνδέονται με τα ευρύτερα σχέδια επιχειρησιακής συνέχειας.

Σε αυτό το πλαίσιο, η πρόσθετη ασφάλιση έναντι κυβερνοκινδύνων (cyber insurance) μπορεί, όπου είναι διαθέσιμη και κατάλληλη, να περιορίσει μέρος των οικονομικών επιπτώσεων μιας επίθεσης και να προσφέρει πρόσθετους πόρους για την αντιμετώπιση και την αποκατάσταση.

Η κυβερνοασφάλεια αποκτά θέση στην αξία του ακινήτου

Η εξέλιξη των «έξυπνων» κτιρίων αλλάζει σταδιακά και τα κριτήρια με τα οποία αξιολογείται ένα ακίνητο. Η κυβερνοασφάλεια αναδεικνύεται σε παράγοντα που εξετάζουν όλο και περισσότερο ιδιοκτήτες και μισθωτές, μαζί με τη βιωσιμότητα, τη συμμόρφωση με το κανονιστικό πλαίσιο και την επιχειρησιακή απόδοση.

Για τους ιδιοκτήτες ακινήτων, αυτό σημαίνει ότι η κυβερνοασφάλεια δεν μπορεί να αντιμετωπίζεται ως ζήτημα που θα επιλυθεί αφού εμφανιστεί μια ευπάθεια. Αντίθετα, θα πρέπει να ενσωματώνεται από την αρχή στον σχεδιασμό των κτιρίων, στις προμήθειες τεχνολογικού εξοπλισμού και στην καθημερινή λειτουργία.