Zagrożenie cyberatakami: branża morska może spodziewać się najgorszych scenariuszy
Odporność na ataki cybernetyczne firm w gospodarce morskiej, szczególnie w żegludze, wymaga więcej inwestycji, lepszych regulacji i wymiany doświadczeń wynikających z incydentami. To kluczowy wniosek z raportu norweskiego towarzystwa klasyfikacyjnego DNV.
Raport („Maritime Cyber Priority 2023″) opiera się na wynikach ankiety przeprowadzonej wśród 801 specjalistów z branży morskiej. Pytano ich o postrzeganie zagrożenia, wyzwania związane z bezpieczeństwem cybernetycznym oraz gotowość do zmian.
Ogólne oceny
Respondenci przedstawili ponury obraz zagrożenia cyberatakami. Aż 90 proc. respondentów spodziewa się zakłóceń w operacjach statków i całych flot w wyniku incydentów cybernetycznych, 79 proc. spodziewa się kradzieży mienia lub ładunku, 76 proc. szkód w infrastrukturze portowej, w tym przeładunkowej, a 72 proc. spodziewa się szkód dla środowiska. Ponadto ponad połowa pytanych ocenia, że incydenty cybernetyczne mogą spowodować kolizje statków, ich uziemienie, a nawet doprowadzić do obrażeń fizycznych lub śmierci.
Podstawowy problem
Skala cyberzagrożeń rośnie, ponieważ systemy, które kiedyś były całkowicie oddzielone od Internetu i sieci są przybliżane do sieci poprzez cyfryzację tych systemów i procesów. To pozostawia luki i tworzy potencjalne scenariusze ataków. W szczególności najbardziej narażone są technologie operacyjne (OT). Są one wykorzystywane do kontrolowania i monitorowania pracy statku. Obejmują systemy dowodzenia na mostku i w maszynowni, a także: radary, elektroniczne systemy wyświetlania map i informacji (ECDIS), systemy automatycznej identyfikacji (AIS), monitorowanie silnika i monitorowanie ładunku.
„Niestety widzimy, że w świecie systemów kontroli i OT brakuje im dojrzałości w sensie cyberbezpieczeństwa, zwłaszcza w porównaniu z normalnymi systemami informatycznymi”- powiedział Svante Einarsson, szef Maritime Cyber Security w DNV. W jego ocenie, technologie operacyjne mogą być chronione przez separację systemów. W przypadku udanego cyberataku ograniczy to skalę szkód.
Potrzebna zmiana przepisów
Także Geoffrey Davis, główny konsultant ds. cyberbezpieczeństwa w ABS Group stwierdza w niezależnej analizie, że kluczowe znaczenie dla bezpiecznej eksploatacji statków jest odpowiednie zabezpieczenie systemów OT. Według niego, niezbędne są np. uwierzytelnianie i kontrola dostępu do sieci OT. Efekt ten można osiągnąć, wprowadzając określone przepisy. A do ich stanowienia jest upoważniona IMO (Międzynarodowa Organizacja Morska). Co istotne, działanie takie koresponduje z wprowadzonymi przez IMO przepisami w sprawie indeksu efektywności energetycznej eksploatowanych statków (EEXI) oraz wskaźnikiem projektowym efektywności energetycznej (EEDI), dla nowo budowanych.
Przepisy te wymagają, aby statki zmniejszyły intensywność emisji CO2 o pewien procent w porównaniu z poziomem bazowym. Aby to osiągnąć, firmy żeglugowe inwestują w nowe technologie i sprzęt w celu zwiększenia wydajności statków. „Technologie te na ogół wymagają większej integracji między systemami OT na statku i z tych systemów do infrastruktury opartej na chmurze do monitorowania w czasie rzeczywistym” – stwierdza Davis.
Rośnie świadomość zagrożeń
W raporcie DNV podkreśla się, że choćświadomość problemów związanych z bezpieczeństwem cybernetycznym poprawia się, to jednak „branża nie jest w pełni przygotowana na zagrożenie, a inwestycje pozostają w tyle za tym, co jest konieczne”.
„Postrzeganie inwestycji jest zauważalnie wyższe wśród profesjonalistów zajmujących się transportem towarowym niż wśród specjalistów ds. transportu pasażerskiego i usług przemysłowych. Być może ze względu na głośne ataki na główne linie kontenerowe w ciągu ostatniej dekady, w połączeniu ze znaczeniem łączności w dekarbonizacji tego podsektora. Jednak profesjonaliści z branży nie uważają, że ich organizacje inwestują wystarczająco dużo” – czytamy w raporcie. „Chociaż niekoniecznie zmienia się gotowość na zagrożenia cybernetyczne, ale przynajmniej dojrzałość, zrozumienie i świadomość” – skomentował Einarsson.
W raporcie przedstawiono też siedem zaleceń, w tym: traktowanie kwestii cybernetycznych jako kwestii bezpieczeństwa, dzielenie się spostrzeżeniami w całej branży, tworzenie skuteczniejszej strategii szkoleniowej, utrzymywanie opcji rezerwowych dla systemów i zmiana przepisów jako punktu odniesienia, na podstawie którego można budować bezpieczeństwo cybernetyczne.
Możliwość komentowania została wyłączona.
