Εκτελεστική σύνοψη
Ο Οργανισμός λειτουργεί ένα ώριμο τεχνολογικό περιβάλλον — ενεργό EDR, κεντρική διαχείριση ταυτοτήτων, τεκμηριωμένο backup. Το σύστημα διαχείρισης ασφάλειας όμως παραμένει κατακερματισμένο σε άτυπες πρακτικές: ενέργειες που γίνονται σωστά, χωρίς τεκμηρίωση που να αντέχει σε έλεγχο.
Η ανάλυση εντόπισε 47 ευρήματα. Τρία είναι κρίσιμα, εννέα υψηλά, δεκαοκτώ μεσαία και δεκαεπτά χαμηλά. Κανένα από τα κρίσιμα δεν αφορά τεχνολογία — και τα τρία αφορούν ελλιπή τεκμηρίωση, διακυβέρνηση και ευθύνη. Αυτό είναι καλό νέο: κλείνονται σε εβδομάδες, όχι μήνες, και δεν απαιτούν νέες επενδύσεις σε εργαλεία.
Ο μεγαλύτερος κίνδυνος συμμόρφωσης δεν είναι το ISO 27001 — είναι το NIS2. Ως ουσιώδης οντότητα, ο Οργανισμός εκτίθεται σε πρόστιμα έως 10 M€ ή 2% του παγκόσμιου τζίρου, και σε προσωπική ευθύνη του διοικητικού οργάνου (Άρθρο 20). Σήμερα δεν υπάρχει τεκμηριωμένη διαδικασία 24ωρης / 72ωρης αναφοράς, ούτε καταγεγραμμένη ευθύνη στο επίπεδο του ΔΣ.
Με την ολοκλήρωση του οδικού χάρτη των 12 εβδομάδων, η εκτίμησή μας είναι ότι ο Οργανισμός φτάνει σε ετοιμότητα Σταδίου 2 για ISO 27001 με 94% κάλυψη ελέγχων, και σε 89% στα μέτρα του NIS2 Άρθρου 21.
Εύρος & μεθοδολογία
Τι ελέγχθηκε, πώς, και τι δεν καλύπτεται από αυτή την ανάλυση.
Η ανάλυση κάλυψε το σύνολο του αποτυπώματος παραγωγής και των κεντρικών υπηρεσιών. Πραγματοποιήθηκαν 14 συνεντεύξεις με ιδιοκτήτες διαδικασιών και 3 τεχνικές επαληθεύσεις σε περιβάλλον ελέγχου.
Η μέθοδος ακολούθησε τη λογική απαίτηση → έλεγχος → τεκμήριο → ιδιοκτήτης. Κάθε εύρημα τεκμηριώνεται με τουλάχιστον ένα συγκεκριμένο στοιχείο — απουσία πολιτικής, ελλιπές αρχείο, μετρήσιμο χάσμα απόκρισης.
Εκτός εύρους: φυσική ασφάλεια αποθηκών εκτός Λάρισας, θυγατρικές εκτός ΕΕ, και συστήματα υπό παροπλισμό. Αυτά δεν βαθμολογήθηκαν και δεν προσμετρήθηκαν στα ποσοστά κάλυψης.
Επισκόπηση ευρημάτων
47 ευρήματα, κατηγοριοποιημένα κατά σοβαρότητα και πλαίσιο.
Τα τρία κρίσιμα ευρήματα αφορούν τη διαχείριση της εφοδιαστικής αλυσίδας, τη διαδικασία αναφοράς περιστατικών και την απουσία ευθύνης στο επίπεδο του ΔΣ. Και τα τρία κλείνονται με διαδικαστικές αλλαγές, όχι με αγορές.
Αναλυτικά ευρήματα
Τέσσερα αντιπροσωπευτικά ευρήματα — όπως εμφανίζονται στην πλήρη αναφορά.
Από τους 31 κρίσιμους προμηθευτές που επεξεργάζονται ή έχουν πρόσβαση σε δεδομένα του Οργανισμού, 7 δεν έχουν τεκμηριωμένη αξιολόγηση ασφάλειας. Δεν υπάρχει μητρώο προμηθευτών με ταξινόμηση κρισιμότητας, ούτε τυποποιημένες ρήτρες ασφάλειας στις συμβάσεις.
Αυτό παραβιάζει το A.5.19–A.5.22 του ISO 27001:2022 και το Άρθρο 21.2.d του NIS2, το οποίο απαιτεί ρητά μέτρα ασφάλειας στην εφοδιαστική αλυσίδα.
Η μέση χρονική απόκριση σε περιστατικά ασφάλειας είναι 41 ώρες από την ανίχνευση έως την κλιμάκωση. Δεν υπάρχει τεκμηριωμένη ροή κλιμάκωσης, ούτε ορισμένο πρόσωπο υπεύθυνο για αναφορά προς την αρμόδια αρχή.
Το NIS2 απαιτεί έγκαιρη προειδοποίηση εντός 24 ωρών και αναλυτική αναφορά εντός 72 ωρών. Σήμερα ο Οργανισμός δεν μπορεί να αποδείξει ότι πληροί αυτές τις προθεσμίες.
Ο Οργανισμός εκχωρεί δικαιώματα με ελεγχόμενο τρόπο, αλλά δεν έχει πραγματοποιήσει περιοδική ανασκόπηση τους τελευταίους 14 μήνες. Η τελευταία ανασκόπηση ήταν ad-hoc, χωρίς τεκμηρίωση.
Αυτό παραβιάζει το A.5.18 και το A.8.2, και δημιουργεί άμεσο κίνδυνο σε περίπτωση ελέγχου — ο επιθεωρητής θα ζητήσει αποδεικτικό στοιχείο ανασκόπησης και δεν θα το βρει.
Πραγματοποιήθηκε δοκιμή αποκατάστασης τον Νοέμβριο του 2024, αλλά δεν υπάρχει τεκμηρίωση — ούτε πρακτικά, ούτε μετρήσεις RTO/RPO, ούτε διορθωτικές ενέργειες. Το σχέδιο επιχειρησιακής συνέχειας δεν έχει εγκριθεί από τη διοίκηση από το 2023.
Απόσπασμα μητρώου κινδύνων
Ταξινομημένο κατά υπολειμματικό κίνδυνο. Απόσπασμα — το πλήρες μητρώο περιλαμβάνει 47 γραμμές.
| ID | Κίνδυνος | Πιθαν. | Επίπτ. | Βαθμός | Ιδιοκτήτης | Κατάσταση |
|---|---|---|---|---|---|---|
| R-003 | Παραβίαση δεδομένων μέσω μη αξιολογημένου προμηθευτή | Υψηλή | Υψηλή | Κρίσιμος | CISO | Ανοιχτός |
| R-007 | Αδυναμία τήρησης προθεσμίας 24h/72h NIS2 | Υψηλή | Μέση | Κρίσιμος | SOC Lead | Σε εξέλιξη |
| R-014 | Μη εξουσιοδοτημένη πρόσβαση λόγω ανενημέρωτων δικαιωμάτων | Μέση | Υψηλή | Υψηλός | IT Ops | Ανοιχτός |
| R-019 | Διακοπή υπηρεσιών χωρίς τεκμηριωμένο σχέδιο αποκατάστασης | Μέση | Υψηλή | Υψηλός | IT Director | Ανοιχτός |
| R-022 | Μη συμμόρφωση εγγράφων ανάπτυξης λογισμικού | Μέση | Μέση | Μεσαίος | Eng Lead | Προγραμματισμένος |
| R-031 | Απώλεια τεκμηρίωσης σε αλλαγή προσωπικού | Μέση | Χαμηλή | Μεσαίος | HR / CISO | Προγραμματισμένος |
| R-038 | Ελλιπής εκπαίδευση σε phishing για νέους υπαλλήλους | Χαμηλή | Μέση | Χαμηλός | HR | Σε εξέλιξη |
Κάλυψη ελέγχων
Κάλυψη ανά κατηγορία του Παραρτήματος A του ISO/IEC 27001:2022 — 93 έλεγχοι συνολικά.
Η αδυναμία εντοπίζεται στο A.8 — συγκεκριμένα στην ασφαλή ανάπτυξη λογισμικού (A.8.25–A.8.28) και στη διαχείριση τεχνικών τρωτοτήτων (A.8.8). Και τα δύο καλύπτονται με διαδικαστικές αλλαγές.
Οδικός χάρτης 12 εβδομάδων
Κάθε ενέργεια έχει ιδιοκτήτη, παραδοτέο και εβδομάδα ολοκλήρωσης. Ενημερώνεται εβδομαδιαία.
Ο οδικός χάρτης είναι αλληλοεξαρτώμενος: το στάδιο υλοποίησης δεν ξεκινά πριν εγκριθεί το σχέδιο κινδύνου από τη διοίκηση, και η εσωτερική επιθεώρηση δεν ξεκινά πριν κλείσουν τα κρίσιμα ευρήματα. Αυτό αποτρέπει το σύνηθες φαινόμενο της «προσπέρασης βημάτων» που οδηγεί σε αποτυχία στο Στάδιο 2.
Λίστα τεκμηρίων
Τα αρχεία που ζητά ο επιθεωρητής — με την τρέχουσα κατάστασή τους.
Επόμενα βήματα
Τι συμβαίνει μετά την παράδοση αυτής της αναφοράς.
Το πρώτο βήμα είναι η έγκριση του σχεδίου κινδύνου από το διοικητικό συμβούλιο. Δεν είναι τυπική διαδικασία — είναι η βάση πάνω στην οποία στηρίζεται ολόκληρο το ISMS και το πρώτο πράγμα που ζητά ο επιθεωρητής.
Το δεύτερο είναι η έναρξη του σταδίου υλοποίησης, με προτεραιότητα στα τρία κρίσιμα ευρήματα. Αυτά κλείνονται με διαδικαστικές αλλαγές, όχι με τεχνολογία, και μπορούν να ολοκληρωθούν εντός των πρώτων πέντε εβδομάδων.
Θέλετε μια ανάλυση σαν αυτή για τον δικό σας οργανισμό;
Δύο εβδομάδες. Ένα μητρώο κενών με προτεραιότητες, ένας κοστολογημένος οδικός χάρτης 12 εβδομάδων, και μια εκτελεστική σύνοψη για το διοικητικό συμβούλιο. Χωρίς δέσμευση, χωρίς χρέωση.