Εταιρεία security ή εταιρεία κυβερνοασφάλειας; Ποια χρειάζεστε

Όταν γράφετε «εταιρεία security», η μηχανή αναζήτησης δεν ξέρει αν φοβάστε διάρρηξη ή ransomware. Οι δύο κλάδοι μοιράζονται τη λέξη, όχι τη δουλειά:

• Φυσική ασφάλεια: φύλακες στη θέση, περιπολίες, έλεγχος εισόδων, συναγερμοί, κάμερες, κέντρα λήψης σημάτων. Ο κίνδυνος είναι κάποιος που μπαίνει, παίρνει ή καταστρέφει κάτι στον χώρο.
• Κυβερνοασφάλεια: δίκτυα, servers, email, λογαριασμοί, αντίγραφα ασφαλείας, δοκιμές διείσδυσης. Ο κίνδυνος είναι κάποιος που αποκτά πρόσβαση στα συστήματα ή στα δεδομένα σας.

Μια καλή πρώτη ερώτηση προς οποιαδήποτε εταιρεία: «Τι ακριβώς θα κάνετε στον χώρο μου, και με ποιους ανθρώπους;». Η απάντηση δείχνει αμέσως σε ποιον κλάδο ανήκει.

Ο ν. 2518/1997 ορίζει ως ιδιωτική επιχείρηση παροχής υπηρεσιών ασφαλείας όποια παρέχει σε τρίτους μία ή περισσότερες από τις εξής υπηρεσίες (άρθρο 1 §1):

• (α) επιτήρηση ή φύλαξη κινητών ή ακινήτων περιουσιακών αγαθών και εγκαταστάσεων·
• (β) προστασία φυσικών προσώπων·
• (γ) ασφαλή μεταφορά χρημάτων, αξιών, αρχαιοτήτων, έργων τέχνης και πολύτιμων αντικειμένων με τεθωρακισμένα οχήματα·
• (δ) προστασία θεαμάτων, εκθέσεων, συνεδρίων, διαγωνισμών και αθλητικών εκδηλώσεων·
• (ε) έλεγχο ασφαλείας και έλεγχο πρόσβασης σε αερολιμένες και λιμένες, με έγκριση της αρμόδιας αρχής·
• (στ) συνοδεία οχημάτων που μεταφέρουν ογκώδη ή βαρέα αντικείμενα· (ζ) συνοδεία αθλητικών αποστολών·
• (η) μελέτες και σχεδιασμό μέτρων για τις δραστηριότητες (α) έως (ζ)·
• (θ) εγκατάσταση, συντήρηση και παρακολούθηση λειτουργίας μηχανημάτων και συστημάτων ασφαλείας και συναγερμού, εκτός από όσα τοποθετούνται σε αυτοκίνητο·
• (ι) εκμετάλλευση κέντρων λήψης, ελέγχου και διαβίβασης σημάτων συναγερμού·
• (ια) μελέτες και σχεδιασμό συστημάτων ασφαλείας για τις δραστηριότητες (θ) και (ι).

Για όλες αυτές, η επιχείρηση χρειάζεται ειδική άδεια λειτουργίας, που εκδίδει ο Προϊστάμενος του Επιτελείου του Αρχηγείου της Ελληνικής Αστυνομίας (άρθρο 2 §1). Το προσωπικό χρειάζεται άδεια εργασίας: κατηγορίας Α΄ για τις δραστηριότητες (α) έως (η) και κατηγορίας Β΄ για τις (θ), (ι) και (ια) (άρθρο 3 §2–3). Πώς ελέγχετε μια άδεια, το εξηγεί ο οδηγός ελέγχου άδειας εταιρείας security· το ευρύτερο πλαίσιο, ο οδηγός για τον νόμο της ιδιωτικής ασφάλειας.

Η προστασία δικτύων, λογισμικού και δεδομένων δεν περιλαμβάνεται στις δραστηριότητες του άρθρου 1 §1. Άρα η άδεια του ν. 2518/1997 δεν λέει τίποτα για την ικανότητα μιας εταιρείας στην κυβερνοασφάλεια — και αντίστροφα.

Μια κάμερα IP, ένα καταγραφικό ή ένας ελεγκτής θυρών έχει διεύθυνση δικτύου, λογισμικό και κωδικούς διαχειριστή. Αν οι κωδικοί μείνουν οι εργοστασιακοί ή η συσκευή δεν ενημερώνεται ποτέ, το σύστημα που αγοράσατε για να προστατεύσει τον χώρο γίνεται πόρτα προς το δίκτυο. Γι’ αυτό, σε αυτά τα συστήματα, οι δύο κλάδοι πρέπει να συνεννοηθούν:

• Η πλευρά της φυσικής ασφάλειας: πού μπαίνουν οι κάμερες και οι αναγνώστες, ποιος βλέπει την εικόνα, ποιος ανταποκρίνεται σε έναν συναγερμό. Δείτε τον οδηγό επιλογής συστήματος CCTV και τον οδηγό ελέγχου πρόσβασης.
• Η πλευρά της κυβερνοασφάλειας: σε ποιο δίκτυο συνδέονται οι συσκευές, ποιος έχει λογαριασμό διαχειριστή, πώς γίνεται η απομακρυσμένη πρόσβαση, ποιος εγκαθιστά ενημερώσεις.
• Το κοινό τους σημείο: ένα έγγραφο που λέει ποιος είναι υπεύθυνος για τι, ώστε να μη μείνει τίποτα «στη μέση». Πώς δένουν τα συστήματα σε μία εικόνα, το εξηγεί ο οδηγός ενοποίησης συστημάτων ασφαλείας.

Το πρότυπο που συναντάτε συχνά σε αυτό το σημείο είναι το ISO/IEC 27001, με πλήρη τίτλο «Information security, cybersecurity and privacy protection — Information security management systems — Requirements». Αφορά σύστημα διαχείρισης ασφάλειας πληροφοριών, όχι φύλαξη. Τι σημαίνει ένα πιστοποιητικό και πώς το ελέγχετε, το εξηγεί ο οδηγός για τις πιστοποιήσεις ISO.

• Μόνο φυσική ασφάλεια: κλοπές εμπορευμάτων, είσοδοι αγνώστων, εργοτάξιο τη νύχτα, εκδήλωση με κόσμο. Χρειάζεστε φύλακες, περιπολίες ή συστήματα από επιχείρηση με άδεια του ν. 2518/1997.
• Μόνο κυβερνοασφάλεια: απάτες μέσω email, κλειδωμένα αρχεία, διαρροή δεδομένων πελατών, έλεγχος του δικτύου. Χρειάζεστε ειδικούς πληροφορικής και ασφάλειας πληροφοριών.
• Και οι δύο: κάμερες, καταγραφικά, έλεγχος πρόσβασης ή συναγερμοί που συνδέονται στο δίκτυο ή στο διαδίκτυο, data rooms, χώροι με servers. Εδώ ζητήστε από τις δύο πλευρές να συμφωνήσουν γραπτά ποιος κάνει τι.

Η OVIT είναι εταιρεία φυσικής ασφάλειας: φύλαξη και περιπολίες, με την πλατφόρμα Guardly να δίνει μία ζωντανή εικόνα για περιπολίες, συμβάντα και αναφορές. Δεν είμαστε εταιρεία κυβερνοασφάλειας: αν τα συστήματά σας είναι στο δίκτυο, αυτή η πλευρά χρειάζεται δικό της υπεύθυνο.

• Προς την εταιρεία security: ποιος είναι ο αριθμός της άδειας λειτουργίας σας; Ο νόμος υποχρεώνει να γράφεται στα έγγραφά της (άρθρο 4 §1α). Τι κατηγορία άδειας εργασίας έχουν όσοι θα έρθουν — Α΄ για φύλαξη, Β΄ για εγκατάσταση και παρακολούθηση συστημάτων;
• Προς την εταιρεία κυβερνοασφάλειας: ποια συστήματα θα ελέγξετε, με ποια μέθοδο, και τι γραπτό αποτέλεσμα θα πάρω; Αν επικαλείται πιστοποίηση, ποιο είναι το πεδίο εφαρμογής της;
• Προς όποιον εγκαθιστά κάμερες ή έλεγχο πρόσβασης: ποιος κρατά τους λογαριασμούς διαχειριστή, πώς αλλάζουν οι εργοστασιακοί κωδικοί, ποιος εγκαθιστά ενημερώσεις, πώς γίνεται η απομακρυσμένη πρόσβαση και ποιος την κλείνει όταν λήξει η συνεργασία;

Μια εταιρεία που λέει ότι «κάνει τα πάντα» δεν είναι λόγος να τη διαλέξετε ή να την απορρίψετε. Ζητήστε της να δείξει ποιο κομμάτι κάνει η ίδια, με ποια άδεια και με ποιους ανθρώπους.