Γράφει η Καβαλιώτη Δανάη, Κοινωνιολόγος, Εγκληματολόγος (MSc), Επικεφαλής Ερευνών και Εκπαιδευτικών Προγραμμάτων CSI Institute.
Για μια μεγάλη πολυεθνική, μια κυβερνοεπίθεση μπορεί να σημαίνει απώλεια δεδομένων, διακοπή λειτουργίας ή ένα σοβαρό οικονομικό πλήγμα. Για μια μικρή επιχείρηση όμως, οι συνέπειες μπορεί να είναι πολύ πιο άμεσες: ένα παραβιασμένο e-banking, ένα ψεύτικο τιμολόγιο, ένα κλειδωμένο πληροφοριακό σύστημα ή η υποκλοπή του εταιρικού mail μπορεί να απειλήσει την βιωσιμότητα της.
Δεν μιλάμε για ένα περιθωριακό ζήτημα, καθώς στην Ελλάδα οι πολύ μικρές επιχειρήσεις με έως εννέα εργαζόμενους, αντιπροσωπεύουν περίπου το 94,5% των επιχειρήσεων του μη χρηματοπιστωτικού επιχειρηματικού τομέα και απασχολούν σχεδόν το 47% των εργαζομένων σε αυτόν. Η ελληνική οικονομία επομένως, δεν είναι μια οικονομία που “χρησιμοποιεί” μικρές επιχειρήσεις, αλλά σε μεγάλο βαθμό στηρίζεται από αυτές.
Το ερώτημα που γεννάται ωστόσο αφορά την περίπτωση που η μικρή αυτή επιχείρηση μεταφέρει ολοένα μεγαλύτερο μέρος της δραστηριότητάς της στο διαδίκτυο, χωρίς να διαθέτει αντίστοιχους ανθρώπινους, οικονομικούς και τεχνικούς πόρους για την προστασία της, σε τι κινδύνους εκτίθεται;
Η συνηθισμένη εικόνα του κυβερνοεγκλήματος παραπέμπει σε έναν hacker που εισβάλλει σε ένα πολύπλοκο πληροφοριακό σύστημα. Για τη μικρή όμως επιχείρηση, ο κίνδυνος συχνά βρίσκεται πολύ πιο κοντά στην καθημερινότητα. Για παράδειγμα ένα mail που μοιάζει να προέρχεται από τον λογιστή, ένα μήνυμα από δήθεν προμηθευτή που ζητά αλλαγή τραπεζικού λογαριασμού, ένας σύνδεσμος για “επιβεβαίωση” μιας παραγγελίας, ένα τηλεφώνημα από κάποιον που γνωρίζει το όνομα της επιχείρησης και παρουσιάζεται ως συνεργάτης τράπεζας.
Το έγκλημα εδώ ξεφεύγει από την τεχνολογία και βασίζεται στην εμπιστοσύνη.
Εδώ και πολλά χρόνια, ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια επισημαίνει ότι η κυβερνοασφάλεια πρέπει να αντιμετωπίζεται ως αποκλειστική αρμοδιότητα του ΙΤ, αλλά ως μέρος της οργανωσιακής κουλτούρας. Η προσέγγιση αυτή είναι ιδιαίτερα κρίσιμη για τις μικρές επιχειρήσεις, όπου συχνά ο ίδιος άνθρωπος είναι ιδιοκτήτης, διαχειριστής, υπεύθυνος οικονομικών και τελικά ο άνθρωπος που θα ανοίξει το ύποπτο e-mail. Με λίγα λόγια ο δράστης δεν προσπαθεί να παραβιάσει μόνο ένα σύστημα, αλλά να επηρεάσει τη συμπεριφορά του ατόμου.
Η μικρή επιχείρηση ως “ευάλωτος στόχος”
Οι μικρές επιχειρήσεις δεν είναι εγγενώς “ανεπαρκείς” ή απρόσεκτες, η ευαλωτότητα είναι συχνά δομική. Μια τέτοια επιχείρηση μπορεί να μην έχει ξεχωριστό τμήμα πληροφορικής, ειδικό υπεύθυνο κυβερνοασφάλειας ή τον απαιτούμενο χρόνο για συνεχή εκπαίδευση του προσωπικού. Μπορεί να εξαρτάται συχνά από έναν εξωτερικό τεχνικό ή από ένα πρόσωπο που να γνωρίζει τους κωδικούς και τα συστήματα. Η ENISA σε πρόσφατη έρευνα της το 2026, διαπίστωσε σημαντικό χάσμα ανάμεσα στην επίγνωση των απαιτήσεων κυβερνοασφάλειας και στην πρακτική ετοιμότητα. Στις μικρότερες επιχειρήσεις ιδιαίτερα, η αντιμετώπιση περιστατικών και η διαχείριση του κύκλου ζωής των προϊόντων αναδείχθηκαν ως αδύναμα σημεία, ενώ το κόστος, ο χρόνος αλλά και η έλλειψη πόρων καταγράφονται ως βασικά εμπόδια.
Επομένως το να λέμε στον επιχειρηματία μιας μικρής επιχείρησης ότι “πρέπει να προσέχει περισσότερο” είναι ανεπαρκές. Η συμπεριφορά του διαμορφώνεται μέσα σε ένα συγκεκριμένο κοινωνικό και οικονομικό περιβάλλον.
Στο ψηφιακό περιβάλλον μια μικρή επιχείρηση μπορεί να αποτελεί κατάλληλο στόχο ακριβώς επειδή διαθέτει οικονομικούς πόρους και ψηφιακές υποδομές, περιορισμένη όμως “φύλαξη”. Το ενδιαφέρον βρίσκεται στο ότι η προστασία δεν αφορά μόνο το antivirus, firewalls ή ισχυρούς κωδικούς. Φύλακας μπορεί να είναι και ο εργαζόμενος που αναγνωρίζει ένα ύποπτο e-mail, ένας λογιστής που επιβεβαιώνει τηλεφωνικά μια αλλαγή λογαριασμού ή ο επιχειρηματίας που έχει ένα αξιόπιστο σχέδιο backup.
Η κυβερνοασφάλεια αποκτά κατ’αυτόν τον τρόπο μια σαφή κοινωνική διάσταση, καθώς η “άμυνα” μιας επιχείρησης αποτελείται από ανθρώπινες σχέσεις, κανόνες, πρακτικές και μορφές εμπιστοσύνης.
Το πρόβλημα επίρριψης ευθύνης στο θύμα
Υπάρχει όμως ο κίνδυνος στο δημόσιο λόγο που δεν είναι άλλος από το victim blaming (επίρριψη ευθύνης στο θύμα)
Μια μικρή επιχείρηση όταν πέσει θύμα μιας ηλεκτρονικής απάτης, η πρώτη αντίδραση συχνά είναι “πως δεν το κατάλαβαν;”. Όμως κανείς αγνοεί μια πολύ βασική πραγματικότητα. Οι σύγχρονες απάτες σχεδιάζονται με σκοπό να μοιάζουν με φυσιολογικές συναλλαγές. Ο δράστης μαθαίνει πολύ εύκολα την επωνυμία της εταιρείας, έναν προμηθευτή της και ακόμα, τη χρονική στιγμή μιας αναμενόμενης πληρωμής. Η ευθύνη λοιπόν, δεν πρέπει να μεταφέρεται αποκλειστικά σε ένα άτομο, καθώς η κυβερνοασφάλεια αποτελεί και ζήτημα οργανωσιακού σχεδιασμού. Καθώς η ψηφιοποίηση των ΜμΕ στην Ελλάδα προχωρά, ταυτόχρονα υπάρχουν βασικά κενά στις ψηφιακές δεξιότητες καθώς και στην πρόσβαση σε εξειδικευμένο προσωπικό.
Η κυβερνοεπίθεση ως κοινωνικό γεγονός
Η επίθεση δεν είναι ορθό να θεωρείται πως σταματά όταν χαθούν τα χρήματα ή τα δεδομένα. Για έναν αυτοαπασχολούμενο, έναν λογιστή, έναν ξενοδόχο, έναν έμπορο, η επιχείρηση αποτελεί προέκταση της ζωής του. Μια οικονομική ζημία μπορεί να μετατραπεί σε άγχος, απώλεια εμπιστοσύνης και φόβο απέναντι στις ψηφιακές συναλλαγές ενώ πολλές φορές οδηγεί και σε κοινωνική απομόνωση. Η θυματοποίηση μιας επιχείρησης μπορεί να σημαίνει ταυτόχρονα θυματοποίηση ενός εργαζομένου, μιας οικογένειας και ενός μικρού κοινωνικού δικτύου.
Το πραγματικό στοίχημα
Μια μικρή ελληνική επιχείρηση δεν χρειάζεται να γίνει πολυεθνική για να νιώσει ασφάλεια. Χρειάζεται ένα περιβάλλον όπου η κυβερνοασφάλεια είναι οικονομικά προσβάσιμη, κατανοητή και προσαρμοσμένη στην πραγματικότητα της και να αποτελείται από πέντε, δέκα ή λιγότερους ανθρώπους. Το ζητούμενο είναι να δημιουργηθεί ο επιχειρηματίας που δεν φοβάται κάθε e-mail, αλλά γνωρίζει τους κινδύνους, έχει διαδικασίες, διαθέτει εναλλακτικές και δεν μένει μόνος όταν συμβεί το περιστατικό. Το κυβερνοέγκλημα επιτίθεται στην εμπιστοσύνη, στην εργασία, στην οικονομική ασφάλεια και την καθημερινότητα πριν από τον υπολογιστή. Είναι θέμα κοινωνικής ανθεκτικότητας απέναντι σε μια μορφή εγκληματικότητας που έχει μεταφέρει το πεδίο δράσης της μέσα στην καθημερινότητα.
Η Εθνική Αρχή Κυβερνοασφάλειας έχει εντάξει στο Εθνικό Στρατηγικό Σχέδιο Κυβερνοασφάλειας 2026-2030 ειδικό στόχο για την ενίσχυση της κυβερνοανθεκτικότητας και της κυβερνοϋγιεινής του ιδιωτικού τομέα των ΜμΕ. Προβλέπεται μεταξύ αλλων, η ανάπτυξη εργαλείων κυβερνοετοιμότητας ειδικά για μικρομεσαίες επιχειρήσεις και αυτοαπασχολούμενους.
Πηγές
https://www.enisa.europa.eu/publications/sme-cyber-resilience-maturity-assessment-model
https://www.enisa.europa.eu/publications/sme-cra-survey-report
https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes
https://www.enisa.europa.eu/publications/cybersecurity-guide-for-smes
https://digital-strategy.ec.europa.eu/en/factpages/greeces-2026-digital-decade-country-report