Κυβερνοεπιθέσεις στις τράπεζες: Νέο πλαίσιο ελέγχων από την Τράπεζα της Ελλάδος και την Επιτροπή Κεφαλαιαγοράς
Προσομοιώσεις πραγματικών ψηφιακών επιθέσεων σε κρίσιμα τραπεζικά συστήματα εισάγει το νέο πλαίσιο TIBER. Ποιους χρηματοοικονομικούς οργανισμούς αφορά και πώς θα εντοπίζονται αδυναμίες πριν αξιοποιηθούν από κυβερνοεγκληματίες.
Στην εφαρμογή του αναθεωρημένου ευρωπαϊκού πλαισίου TIBER-EU προχωρούν η Τράπεζα της Ελλάδος και η Επιτροπή Κεφαλαιαγοράς, με στόχο την ενίσχυση της κυβερνοασφάλειας και της ψηφιακής ανθεκτικότητας του ελληνικού χρηματοοικονομικού τομέα. Οι δύο εποπτικές αρχές δημοσίευσαν το Εθνικό Έγγραφο Υλοποίησης TIBER-GR, το οποίο καθορίζει τον τρόπο διεξαγωγής εξειδικευμένων δοκιμών ασφαλείας σε χρηματοοικονομικούς οργανισμούς. Η πρωτοβουλία αποσκοπεί στον εντοπισμό αδυναμιών σε κρίσιμες ψηφιακές υποδομές και στην αξιολόγηση της δυνατότητας των οργανισμών να αντιμετωπίζουν σύνθετες κυβερνοεπιθέσεις.
Βασικό στοιχείο του νέου πλαισίου είναι οι δοκιμές παρείσδυσης βάσει απειλών (Threat-Led Penetration Testing – TLPT). Πρόκειται για ελεγχόμενες προσομοιώσεις κυβερνοεπιθέσεων που πραγματοποιούνται υπό συνθήκες οι οποίες προσεγγίζουν πραγματικά περιστατικά και αφορούν κρίσιμα παραγωγικά συστήματα και λειτουργίες. Σε αντίθεση με τους συμβατικούς ελέγχους ασφαλείας, οι δοκιμές αυτές εξετάζουν στην πράξη κατά πόσο ένας οργανισμός μπορεί να εντοπίσει μια επίθεση, να περιορίσει τις επιπτώσεις της και να διατηρήσει ή να αποκαταστήσει τις βασικές λειτουργίες του. Μέσα από τη διαδικασία μπορούν να αποκαλυφθούν κενά στις τεχνολογικές υποδομές, στα πρωτόκολλα ασφαλείας και στις διαδικασίες διαχείρισης περιστατικών.
Για τον συντονισμό της εφαρμογής του πλαισίου συστήνεται η Ομάδα Συντονισμού Δοκιμών TIBER, με την ονομασία TLPT Cyber Team Greece (TCT-GR). Σε αυτήν θα συμμετέχουν στελέχη της Τράπεζας της Ελλάδος και της Επιτροπής Κεφαλαιαγοράς, τα οποία θα αναλάβουν την υποστήριξη και τον συντονισμό των δοκιμών στον ελληνικό χρηματοοικονομικό τομέα. Η ομάδα θα συμβάλλει στην οργανωμένη εφαρμογή των ελέγχων, σύμφωνα με τις ευρωπαϊκές προδιαγραφές, ώστε οι δοκιμές να πραγματοποιούνται με ενιαία μεθοδολογία και σαφείς διαδικασίες.
Το TIBER-EU έχει αναπτυχθεί από το Ευρωπαϊκό Σύστημα Κεντρικών Τραπεζών και συνδέεται με τις απαιτήσεις του ευρωπαϊκού Κανονισμού DORA (2022/2554), ο οποίος αφορά την ψηφιακή επιχειρησιακή ανθεκτικότητα των χρηματοοικονομικών οργανισμών. Η ελληνική εφαρμογή έχει σχεδιαστεί ώστε να ευθυγραμμίζεται τόσο με τον συγκεκριμένο κανονισμό όσο και με τον νόμο 5193/2025. Στο πλαίσιο αυτό, η κυβερνοασφάλεια αντιμετωπίζεται όχι μόνο ως ζήτημα τεχνικής προστασίας, αλλά και ως βασική παράμετρος της επιχειρησιακής συνέχειας και της χρηματοπιστωτικής σταθερότητας.
Οι δοκιμές TLPT αποτελούν κανονιστική υποχρέωση για τις χρηματοοικονομικές οντότητες που εμπίπτουν στο πεδίο εφαρμογής του DORA και πληρούν τα κριτήρια επιλεξιμότητας του Κανονισμού (ΕΕ) 2025/1190. Η υποχρέωση, επομένως, δεν αφορά αυτομάτως όλες τις επιχειρήσεις του χρηματοοικονομικού κλάδου, αλλά συγκεκριμένους οργανισμούς που καλύπτονται από τις σχετικές ευρωπαϊκές διατάξεις. Οι επιλέξιμες οντότητες καλούνται να αξιολογούν συστηματικά την αποτελεσματικότητα των μηχανισμών προστασίας τους και να προχωρούν στις απαραίτητες διορθωτικές ενέργειες όταν εντοπίζονται αδυναμίες.
Η ενίσχυση των ελέγχων αποκτά ιδιαίτερη σημασία καθώς οι τραπεζικές και επενδυτικές υπηρεσίες εξαρτώνται ολοένα περισσότερο από σύνθετα πληροφοριακά συστήματα, ψηφιακές πλατφόρμες και εξωτερικούς τεχνολογικούς παρόχους. Μια επιτυχημένη κυβερνοεπίθεση μπορεί να προκαλέσει διακοπή συναλλαγών, προβλήματα πρόσβασης σε υπηρεσίες, λειτουργικές δυσλειτουργίες και οικονομικές απώλειες. Οι στοχευμένες δοκιμές επιτρέπουν στους οργανισμούς να εξετάζουν την ετοιμότητά τους πριν από ένα πραγματικό περιστατικό, ενώ συμβάλλουν στην καλύτερη αξιολόγηση των κινδύνων και στην ενίσχυση των διαδικασιών αντιμετώπισης ψηφιακών απειλών.
