Σύγχρονες προκλήσεις: γιατί οι απειλές είναι πλέον «ασύμμετρες»

Σήμερα οι απειλές είναι ολοένα και πιο ασύμμετρες, γιατί μπορούν να «παραχθούν» εύκολα και με χαμηλό κόστος. Οι επιτιθέμενοι δεν χρειάζονται πλέον μεγάλους προϋπολογισμούς ή βαθιά εξειδίκευση: ευρέως διαθέσιμα μοντέλα AI, έτοιμες πλατφόρμες crime-as-a-service και αυτοματοποιημένα εργαλεία κάνουν τις υποκλοπές δεδομένων, το phishing, την κοινωνική μηχανική και την παράδοση κακόβουλου κώδικα ταχύτερες και φθηνότερες. Αυτό μεταφράζεται σε περισσότερες επιθέσεις, μεγαλύτερη ταχύτητα εξάπλωσης (από την αναγνώριση του πεδίου δράσης στην αρχική πρόσβαση και την εμβάθυνση της πρόσβασης σε περισσότερα συστήματα), αλλά και σε πιο πειστικά σενάρια εξαπάτησης (π.χ. πλαστοπροσωπία φωνής μέσω deepfakes, πλαστά έγγραφα προμηθευτών, ψευδή αποτελέσματα εργαστηρίων).

Παράλληλα, και οι δύο κλάδοι έχουν εγγενείς αδυναμίες: ετερογενή περιβάλλοντα διαφορετικών αρχιτεκτονικών και τεχνολογιών (π.χ. IT, OT, IoMT, legacy συστήματα), πολλούς τρίτους φορείς (π.χ. CROs, προμηθευτές, logistics, cloud) και, συχνά, «μηδενική ανοχή» σε downtime. Η εικόνα αποτυπώνεται και σε αναφορές Ευρωπαϊκών Φορέων (π.χ. ENISA), όπου τα ransomware και οι παραβιάσεις δεδομένων εμφανίζονται για σειρά ετών ως οι συχνότερες κατηγορίες περιστατικών.

Κύριες απειλές για Υγεία & Pharma

Στο περιβάλλον αυτό, οι βασικές απειλές για οργανισμούς και των δύο κλάδων περιλαμβάνουν:

• Ransomware με διπλό ή/και τριπλό εκβιασμό: τα δεδομένα δεν είναι απλώς μη διαθέσιμα στους νόμιμους χρήστες, αλλά συνοδεύονται από απειλές διαρροής και πίεση μέσω τρίτων ή ασθενών. Σε νοσοκομειακά περιβάλλοντα, ο λειτουργικός αντίκτυπος μπορεί να μετατραπεί ακόμα και σε κλινικό ρίσκο, όπως καθυστερήσεις εξετάσεων ή χειρουργείων.
• Κλοπή πνευματικής ιδιοκτησίας και κατασκοπεία: δεδομένα Έρευνας & Ανάπτυξης (R&D), φόρμουλες, δεδομένα κλινικών μελετών, φάκελοι υποβολών προς ρυθμιστικές αρχές.
• Επιθέσεις στην εφοδιαστική αλυσίδα: κατάχρηση προσβάσεων προμηθευτών, κακόβουλες ενημερώσεις λογισμικού, ευάλωτες βιβλιοθήκες, υπηρεσίες τρίτων.
• Επιθέσεις σε IoMT ή λογισμικό ιατρικών συσκευών: συσκευές με ανεπαρκείς ενημερώσεις ασφάλειας, ασαφή ιδιοκτησία ευθύνης και μεγάλη επιφάνεια επίθεσης.
• Επιθέσεις σε πλατφόρμες δεδομένων: αποθήκες δεδομένων υγείας και μηχανισμούς διαμοιρασμού δεδομένων.

Οι «ακούσιες» απειλές αυξάνονται λόγω AI από μη τεχνικούς

Μια κρίσιμη μετατόπιση είναι ότι οι κίνδυνοι δεν προέρχονται μόνο από εξωτερικούς αντιπάλους. Οι ακούσιες απειλές αυξάνονται, επειδή η τεχνητή νοημοσύνη χρησιμοποιείται από μη τεχνικούς σε σχεδόν κάθε λειτουργία (marketing, HR, νομικό, ιατρική τεκμηρίωση, φαρμακοεπαγρύπνηση, προμήθειες). Αυτό συμβαίνει πλέον συχνά χωρίς κριτική σκέψη ή προστατευτικούς κανόνες και έτσι εμφανίζεται η «σκιώδης χρήση AI» (shadow AI) και τα νέα μοτίβα διαρροών: από την αντιγραφή ευαίσθητων δεδομένων σε εργαλεία, την ελλιπή ανωνυμοποίηση προσωπικών δεδομένων, στην έκθεση συνομιλιών με βοηθούς AI ή την «παραγωγή» πειστικών αλλά λανθασμένων κειμένων που καταλήγουν σε κρίσιμα ή ρυθμιστικά αρχεία. Το αποτέλεσμα είναι ένα μείγμα κυβερνοκινδύνων, κινδύνων ιδιωτικότητας και κινδύνων αξιοπιστίας, που δεν καλύπτονται επαρκώς από τις παραδοσιακές μεθόδους ελέγχου.

Κανονιστικές απαιτήσεις: το πλαίσιο γίνεται ολοένα πιο πιεστικό

Ταυτόχρονα, το κανονιστικό περιβάλλον γίνεται πιο σύνθετο και πιεστικό, τόσο με κλαδικές ρυθμίσεις όσο και με οριζόντιους κανόνες, όπως:

• EU Health Data Space (EHDS): Το Regulation (EU) 2025/327 εισάγει πλαίσιο για πρόσβαση, ανταλλαγή και δευτερογενή χρήση δεδομένων υγείας, αυξάνοντας τη σημασία διακυβέρνησης, ασφάλειας και ελέγχων πρόσβασης κατά τον διαμοιρασμό.
• European Biotech Act: Η πρόταση στοχεύει στην ενίσχυση της βιοτεχνολογίας και της βιοπαραγωγής, άρα ανεβάζει τον πήχη σε συμμόρφωση, εφοδιαστική αλυσίδα και προστασία πνευματικής ιδιοκτησίας.
• EU AI Act: Ο πλέον κρίσιμος κανονισμός για εφαρμογές AI με κλινική χρήση, με υποχρεώσεις προστασίας που κλιμακώνονται ανάλογα με τον κίνδυνο.
• NIS2: Η Ευρωπαϊκή Οδηγία ενισχύει τις απαιτήσεις διαχείρισης κινδύνων, αναφοράς περιστατικών και ευθύνης διοίκησης για κρίσιμους τομείς, συμπεριλαμβανομένων σχετικών δραστηριοτήτων υγείας.
• Cyber Resilience Act (CRA): Ο Κανονισμός απαιτεί cybersecurity-by-design για προϊόντα με ψηφιακά στοιχεία, όπως διασυνδεδεμένες συσκευές και λογισμικό που διατίθεται στην αγορά.
• EU Data Act: Ο Κανονισμός αλλάζει τους κανόνες πρόσβασης και χρήσης δεδομένων από συνδεδεμένα προϊόντα και επηρεάζει πλατφόρμες δεδομένων και διαλειτουργικότητα.

Το βασικό μήνυμα είναι ότι οι οργανισμοί δεν μπορούν να βλέπουν την κυβερνοασφάλεια, την AI και τη διαχείριση δεδομένων ως ξεχωριστά «κουτάκια»· πλέον αποτελούν ένα ενιαίο σύστημα συμμόρφωσης και ανθεκτικότητας.

Τεχνολογικές λύσεις που χτίζουν ψηφιακή ανθεκτικότητα

Στην Υγεία και τη Φαρμακοβιομηχανία, οι λύσεις που αυξάνουν ουσιαστικά την ανθεκτικότητα είναι αυτές που συνδυάζουν: (α) μείωση της επιφάνειας επίθεσης, (β) επιχειρησιακή ανθεκτικότητα και (γ) διακυβέρνηση AI και δεδομένων. Πέρα από τεχνολογίες που έχουν ωριμάσει την τελευταία δεκαετία, όπως Zero Trust, supply chain security, EDR/XDR και resilience engineering, πλέον αναδεικνύεται και η ασφάλεια και η υπεύθυνη υλοποίηση των οικοσυστημάτων AI. Αυτό πραγματοποιείται με σειρά μηχανισμών, όπως οι έλεγχοι διαρροής δεδομένων, το ασφαλές MLOps, η παρακολούθηση μοντέλων AI, το red teaming σε LLM-based assistants και οι πολιτικές approved AI use.