Οι πρώτες κόντρες και οι απαιτήσεις των δανειστών

Στα θέματα που εξετάστηκαν χθες περιλαμβάνονται:

Η Ένωση Πληροφορικών Ελλάδας (ΕΠΕ) παρακολουθεί, ως οφείλει, τα δημοσιεύματα και τις εξελίξεις των τελευταίων ημερών, σχετικά με την υπόθεση ενδεχόμενων ψηφιακών παραβιάσεων και σχεδιασμού συστήματος παράλληλων πληρωμών με αξιοποίηση στοιχείων του συστήματος TAXIS. Σύμφωνα με δημοσιεύματα που ξεκίνησαν την περασμένη Παρασκευή (24/7) και τα λεγόμενα του ίδιου του πρώην Υπουργού Οικονομικών κ. Γ. Βαρουφάκη όπως αποτυπώνονται σε ήδη δημοσιευμένο ηχητικό αρχείο, μια μικρή ομάδα έμπιστων συνεργατών του ανέλαβε να εκπονήσει μια μελέτη εφικτότητας για ένα εναλλακτικό σχέδιο αντιμετώπισης της περίπτωσης μη συμφωνίας με τους εταίρους-δανειστές στην πρόσφατη Σύνοδο Κορυφής. Το σχέδιο αυτό θα αναλάμβανε να ελαχιστοποιήσει τις επιπτώσεις στην Οικονομία αν, στην περίπτωση μη επίτευξης συμφωνίας στις

• Πουθενά δεν αναφέρεται παραβίαση ή υποκλοπή ΑΦΜ ή κωδικών για την απόκτηση πρόσβασηςσε αυτούς. Το ΑΦΜ κάθε φυσικού ή νομικούπροσώπου αποτελεί μεν δεδομένο προσωπικού χαρακτήρα (φορολογικό στοιχείο), όμως είναι δημόσια διαθέσιμο υποχρεωτικά σε εμπορικές και φορολογικές συναλλαγές για λόγους επικύρωσης.
• Από μόνο του το ΑΦΜ δεν αποκαλύπτει περισσότερα προσωπικά δεδομένα τουκατόχου, παρά μόνο αν συνδυαστεί με αντίστοιχη φορολογική Βάση Δεδομένων(ΒΔ), η οποία αποτελεί μέρος του συστήματος του TAXIS και φυσικά δεν είναι δημόσιαπροσβάσιμη.
• Υπάρχουνδημόσια προσβάσιμες ηλεκτρονικέςυπηρεσίες του TAXIS που επιτρέπουν τοναπλό έλεγχο εγκυρότητας ενός ΑΦΜ καιπου, υπό κάποιες συνθήκες, μπορούν να χρησιμοποιηθούν για τη μαζική καταγραφή έγκυρων ΑΦΜ¹,χωρίς όμως κατ’ ανάγκη διαρροήπερισσότερων φορολογικών στοιχείωνπου να σχετίζονται με αυτά.
• Επομένως, στη συγκεκριμένη υπόθεση δεν φαίνεται να προκύπτει ουσιώδεςνομικό ή άλλο ζήτημα «υποκλοπής» ΑΦΜ, ούτε κατάχρησης των ηλεκτρονικών υπηρεσιών επικύρωσης ΑΦΜ μέσω δικτύου με σκοπό τη σκόπιμη μη-διαθεσιμότητάτους (network attack: Distributed Denial ofService – DDoS), παρά μόνο ζήτημα διερεύνησηςαν μέσω αυτών των όποιων «δοκιμαστικών» ΑΦΜ υπήρξε στην πράξη πρόσβαση από μη εξουσιοδοτημένα άτομα σε πρόσθετα φορολογικά στοιχεία φυσικών ή νομικών προσώπων.

• Οπηγαίος κώδικας, οι εκτελέσιμες εφαρμογές, τα ερωτήματα ΒΔ (SQLqueries), καθώςκαι οι ίδιες οι ΒΔ με τα δεδομένα που περιέχουν, αποτελούν τυπικά και ουσιαστικά «ιδιοκτησία» των αρμόδιωνκρατικών φορέων (ΓΓΠΣ, ΓΓΔΕ, ΚΕΠΥΟ). Κατά συνέπεια, η αντιγραφή πηγαίου κώδικαθα πρέπει να θεωρηθεί τυπικά σύννομηκαι επιτρεπτή επεξεργασία, εφόσον φυσικά αφορά σε εξουσιοδοτημένη υπηρεσιακή χρήση.
• Παρόλα αυτά, η μεταφορά πηγαίου κώδικα εφαρμογών ή οποιωνδήποτε δεδομένων του TAXIS θα πρέπει πάντοτε να είναι σύμφωνη με τους θεσμοθετημένους κανονισμούς και τις αντίστοιχες Πολιτικές Ασφάλειας (Security Policy) του εκάστοτε φορέα.
• Με βάση τα παραπάνω, αναδεικνύεταιγια άλλη μια φορά η επιτακτική ανάγκη υιοθέτησης συγκεκριμένων ανοικτών προτύπων (open standards), ειδικά σε ότι αφορά την ανάπτυξηλογισμικού και τη διάθεση πηγαίου κώδικα σε ανοικτή μορφή, σε αντίθεσημε ό,τι ισχύει σήμερα. Η υιοθέτησηπροτύπων ανοικτού κώδικα θα επέτρεπεαφ' ενός την ανάπτυξη λογισμικού πουθα ήταν διασφαλισμένο από διαρροή ευαίσθητων στοιχείων (π.χ. κωδικώνπρόσβασης) από τον πηγαίο κώδικα καιαφ' ετέρου θα επέτρεπε την επισκόπησή του από οποιονδήποτε, χωρίς να υπάρχειανάγκη παραβίασης καμίας διοικητικήςδιαδικασίας και κανενός μηχανισμούασφαλείας.
• Συνεπώς,στη συγκεκριμένη υπόθεση η πρόθεσηαντιγραφής πηγαίου κώδικα από ενεργές εφαρμογές του TAXIS με τον τρόπο που περιγράφεται υπάρχει κάποιο (πιθανότατα ασθενές) έρισμα γιαπεραιτέρω διερεύνηση σε νομικό επίπεδο. Επιπλέον, σύμφωνα με τα λεγόμενα τουπρώην Υπουργού η ενέργεια αυτή δενπραγματοποιήθηκε ποτέ. Όμως, το σημαντικότερο ζήτημα είναι η περιγραφήτης πρόθεσης και η αναμενόμενη ευκολίαπραγματοποίησης της ενέργειας αυτής,σε σχέση με το γενικότερο θέμα τηςσημασίας της ασφάλειας των πληροφοριακώνσυστημάτων των πιο κρίσιμων κρατικών υποδομών. Η ΕΠΕ θεωρεί ότι η οποιαδήποτε επεξεργασία στοιχείων θαπρέπει να γίνεται από το αρμόδιο καιειδικά εξουσιοδοτημένο στελεχιακό δυναμικό, σύμφωνα με το θεσμικό πλαίσιο,και με ιδιαίτερη έμφαση στην ασφάλεια των πληροφοριακών συστημάτων και τωνσημαντικών δημόσιων υποδομών κρίσιμης σημασίας. Από την περιγραφή γίνεται φανερό ότι η αντιμετώπιση του θέματος είναι εξόχως επιφανειακή, μη επαγγελματικήκαι τεχνικώς επικίνδυνη (πιθανή διαρροή μη πιστοποιημένου πηγαίου κώδικα εφαρμογών του TAXIS).

• Η ανάπτυξη ενός πραγματικού επιχειρησιακούπλάνου βάσει μιας απλής μελέτης εφικτότητας όπως περιγράφεται, δηλαδή για λογισμικό επιπέδου αξιοπιστίαςκαι απόδοσης συγκρίσιμο με αυτό των εφαρμογών που λειτουργούν σήμερα στοTAXIS, απαιτούνμεγάλη προετοιμασία, σχεδίαση και χρονοπρογραμματισμό επιμέρους ομάδωνεργασίας, εκτενές διάστημα δοκιμαστικής χρήσης (testing / beta versions), μετάπτωση των ΒΔ(migration) και διαρκής υποστήριξη ειδικά στις πρώτες φάσης της λειτουργίας του, αν και εφόσονετίθεντο ποτέ σε πραγματική επιχειρησιακή λειτουργία.
• Βάσει των παραπάνω, η περιγραφή του πρώην Υπουργού φανερώνει ότι είτε (α) δεν υπήρξε ποτέ ολοκληρωμένη σχεδίαση,ίσως ούτε καν επίσημη έγκριση για αυτό, ενός πραγματικού επιχειρησιακού πλάνουέκτακτης ανάγκης, είτε (β) υπήρξε έγκριση και σχεδίαση ενός τέτοιου πλάνου, όμωςσε τεχνικό επίπεδο είναι σχεδόν σίγουρο ότι δεν θα μπορούσε ποτέ να τεθεί σεεπιχειρησιακή χρήση με επιτυχία και κατά συνέπεια απορρίφθηκε.
• Στη συγκεριμένη επιμέρους αναφορά δεν τίθεται ζήτημα διερεύνησης ευθυνών ήπιθανών παραβιάσεων ασφάλειας, όμως καταδεικνύεται ο κίνδυνος καταστρατήγησης των διεθνών προτύπων για τη διασφάλισηποιότητας λογισμικού (Software Quality Assurance – SQA), η οποία σε τόσοκρίσιμα συστήματα αποτελεί πάντοτεύψιστη απαίτηση και υποχρέωση.Πρακτικά αυτό σημαίνει ότι, ακόμα κιαν το προτεινόμενο πλάνο είχε την επίσημη κυβερνητική έγκριση ως επίσημηεναλλακτική λύση, ακόμα κι αν η σχεδίασήτου είχε ολοκληρωθεί και το νέο σύστημα κατέληγε τελικά έτοιμο προς χρήση,εντούτοις λόγω των προβληματικώντεχνικών προδιαγραφών και του τρόπουανάπτυξής του, είναι ουσιαστικά βέβαιοότι η ενεργοποίησή του σύμφωνα με τις περιγραφές του πρώην Υπουργού θαοδηγούσε σε σοβαρά προβλήματα (αξιοπιστίας, διαθεσιμότητας, ασφάλειας,κτλ) ή ακόμα και σε πλήρη αποτυχία. Ανεξαρτήτως προθέσεων ή εμπειρίας των εμπλεκομένων ατόμων, η ανάπτυξη λογισμικού αυτής της κλίμακας και αυτής της κρισιμότητας αποτελεί πάντα ένα εξαιρετικά απαιτητικό και τεχνικώςδύσκολο εγχείρημα, το οποίο απαιτεί την εφαρμογή συγκεκριμένων διαδικασιών, διεθνών προτύπων και αναλυτικού χρονοπρογραμματισμού, στα πλαίσια του επιστημονικού τομέα της Τεχνολογίας / Μηχανικής Λογισμικού (Software Engineering).

• Βάσει του καταστατικού λειτουργίας της καιτου σχετικού νόμου ιδρύσεώς της (Ν.4093/2013), η ΓΓΔΕ αποτελεί πλέον ανεξάρτητη Aρχή. Συνεπώς, η λειτουργία της διέπεται από τις σχετικές προβλέψειςτου υφιστάμενου θεσμικού πλαισίου και έχει κάποια σχετική ανεξαρτησία, καθώςδεν υπόκειται σε άμεσο διοικητικό έλεγχο από τις προϊστάμενες αρχές ωςπρος την εσωτερική της λειτουργία,πέρα φυσικά από κάποιες βασικές διοικητικές πράξεις που σχετίζονται π.χ. με τον διορισμό του/της γ.γ. ωςεπικεφαλής (πράξη Υπουργικού Συμβουλίου).
• Το λογισμικό που βρίσκεται υπό την εποπτείατης ΓΓΔΕ είναι από τη φύση του «κρίσιμο»(safety-critical), λόγω της υποδομής με την οποία διασυνδέεταικαι λόγω του όγκου των δεδομένωνπροσωπικού χαρακτήρα στον οποίο έχειπρόσβαση. Οποιαδήποτε παραβίαση ή μηεξουσιοδοτημένη χρήση μπορεί να οδηγήσει εν δυνάμει σε μαζική διαρροή ευαίσθητων δεδομένων με εξαιρετικάυψηλό κόστος σε ατομικό και εθνικόεπίπεδο.
• Υπάρχειτεράστια διαφορά μεταξύ ενός ανεξάρτητουφορέα που είναι (βάσει νόμου) εκτός του άμεσου δημόσιου ελέγχου και ενός φορέαπου βρίσκεται «υπότον έλεγχο ξένων»,ειδικά όταν πρόκειται για τόσο κρίσιμες εθνικές υποδομές.
• Επομένως,η συγκεριμένη αιτίαση του πρώην Υπουργούθα πρέπει να διερευνηθεί άμεσα και σε βάθος, ώστε να διαπιστωθεί αν πράγματιυπάρχει οποιαδήποτε αμφιβολία σχετικά με την ανεξαρτησία της ΓΓΔΕ, σε διοικητικόκαι λειτουργικό επίπεδο. Μάλιστα, ηδιερεύνηση αυτή θα πρέπει να περιλαμβάνει και πολύ συγκεκριμένους ελέγχους σε τεχνικό επίπεδο, όπως για παράδειγμα αν/πώς τηρούνταιη αντίστοιχη Πολιτική Ασφάλειας (SecurityPolicy), οινομικά υποχρεωτικές απαιτήσεις τωνΑΠΔΠΧ και ΑΔΑΕ σχετικά με την προστασία των δεδομένων προσωπικών δεδομένωνκαι του απορρήτου των επικοινωνιώναντίστοιχα, καθώς και λεπτομερήςέλεγχος των ατόμων που είναι νομικά και ουσιαστικά υπεύθυνοι για τη σωστή τήρηση των παραπάνω.

Ο οδικός χάρτης Βερναρδάκη για τις αλλαγές στο Δημόσιο