La cyber security nel settore marittimo lo scenario, i rischi e le sfide future
SAFECORE
Contesto di Riferimento
Le innovazioni nel campo della robotica e dell’automazione, dell’intelligenza artificiale e delle tecnologie della comunicazione stanno comportando una rivoluzione in tutti i settori industriali, anche nel settore marittimo e portuale in cui la cyber security riveste un ruolo sempre più di primaria importanza.
I processi di innovazione in atto espongono tuttavia gli impianti portuali e il settore navale a maggiori rischi cyber. L’uso di strumentazioni digitali richiede un’adeguata prevenzione dagli attacchi cyber per non compromettere il livello di sicurezza di settori strategici e sensibili quali la logistica e la navigazione.
Per mitigare le potenziali conseguenze commerciali in caso di incidenti informatici, un gruppo di associazioni marittime internazionali che rappresentano gli armatori, con il supporto di una vasta gamma di parti interessate, ha partecipato allo sviluppo di alcune linee guida, progettate per aiutare le aziende nel formulare i propri approcci per la gestione del rischio informatico a bordo delle navi.
Nei prossimi anni, porti e operatori del settore (compagnie di navigazione, armatori, operatori logistici, terminal, caricatori e autorità di controllo) baseranno particolarmente la propria affidabilità sulla capacità di resistenza agli attacchi cyber.
Evoluzione tecnologica alla base del crescente trend di attacchi cyber
Le navi stanno adottando sempre più sistemi basati sulla digitalizzazione, integrazione e automazione, richiedendo quindi una gestione efficace del rischio informatico a bordo. In aggiunta, le navi sono sempre più collegate alle operazioni a terra, usando la comunicazione digitale per rimanere in contatto con la sede centrale.
Nonostante la cyber security sia un argomento consolidato in alcuni settori come quello bancario e finanziario, la sua implementazione nel settore industriale è più complessa, soprattutto per la coesistenza di Information Technology (IT) e Operational Technologies (OT), le quali utilizzano dispositivi e reti simili e stanno convergendo verso soluzioni tecniche analoghe.
L’industria, incluso il settore marittimo, sta affidando alcuni dei suoi processi alle tecnologie informatiche del mercato, compreso l’utilizzo di dispositivi simili e il modello Internet of Things (IoT). Questo aumenta il rischio di accessi non autorizzati o attacchi ai sistemi e alle reti navali.
Il Parlamento Europeo, con la Direttiva NIS (Network and Information Security) del 2016, implementata in Italia dal D.lgs. n. 65/2018, ha evidenziato l’importanza di questa questione. Questa direttiva richiede agli Stati Membri di identificare gli Operatori di Servizi Essenziali (OSE), inclusi i gestori portuali, le compagnie di navigazione e i servizi di assistenza al traffico marittimo. A questi soggetti è richiesto di segnalare gli attacchi hacker al Computer Security Incident Response Team, pena sanzioni amministrative.
I rischi possono verificarsi sia sui sistemi di bordo che esternamente. I sistemi di comunicazione satellitare, e le reti 4G e 5G vicino alla costa, permettono l’accesso alle reti e ai dati di bordo. Anche sistemi isolati, senza connettività, sono vulnerabili a minacce tipiche del cyber environment, come malware introdotti tramite supporti rimovibili o altri dispositivi di storage dati.
È chiaro che i sistemi stand-alone sono meno esposti a attacchi informatici esterni rispetto a quelli connessi a reti non sicure o direttamente a Internet.
La vulnerabilità dei sistemi di bordo
Alla stregua di quanto sta accadendo in altri settori industriali, anche nel settore marittimo le accresciute esigenze di connettività in tempo reale, volte a fornire informazioni all’occorrenza per ottimizzare le operazioni marittime e l’esperienza e soddisfazione del cliente, stanno aumentando la superficie di attacco cyber, rendendo questi attacchi potenzialmente più letali.
Tra i sistemi informatici più delicati e vulnerabili a bordo delle navi vanno considerati i sistemi di gestione del carico, che controllano carico e scarico delle merci e che si interfacciano con porti e terminal, i sistemi di navigazione, fra i quali l’ECIDIS (Electronic Chart Display and Information System), il GNSS (global navigation satellite system), i sistemi VDR (voyage data recorder) e i radar. Altrettanto sensibili sono i sistemi di gestione della propulsione, i sistemi di controllo degli accessi, di sorveglianza a bordo, i tablet utilizzati dal personale di bordo, i sistemi di comunicazione.
Tutti questi sistemi critici per la sicurezza della navigazione e per la gestione della potenza e del carico sono diventati sempre più digitalizzati e connessi ad Internet, in quanto svolgono un’ampia gamma di funzioni indispensabili, fra cui il monitoraggio delle prestazioni del motore, la manutenzione e gestione delle parti di ricambio, le operazioni di carico e scarico, la gestione della pompa, la pianificazione dello stivaggio e il monitoraggio delle prestazioni di viaggio. Questi sistemi critici di bordo sono tutti composti da dispositivi potenzialmente vulnerabili e possono fornire un elevato numero di dati, di forte interesse per gli attaccanti cyber. Le moderne tecnologie possono quindi aggiungere molteplici vulnerabilità alle navi.
Spesso la vulnerabilità di tali sistemi è causata dall’utilizzo di sistemi operativi obsoleti, dall’assenza di software antivirus, dall’inadeguatezza e dall’inefficienza della gestione dei sistemi informatici e di controllo degli accessi agli stessi. Ad esempio, permettere l’accesso ai sistemi di bordo con strumentazioni informatiche non aziendali consente di avere notevoli risparmi sulle attrezzature, ma comporta un aggravarsi del rischio sul controllo degli accessi.
Anche i «wearable devices» o dispositivi indossabili, interagendo con sistemi connessi da remoto, introducono numerosi vettori di attacco e conseguentemente nuove vulnerabilità e un maggior numero di rischi legati al loro utilizzo.
È chiaro quindi come l’adozione di misure atte a garantire la sicurezza degli operatori e delle informazioni da essi gestite per mezzo dei sistemi di bordo sia un tema preminente anche nel settore marittimo.
Nello specifico, i sistemi di bordo più critici includono:
- I sistemi di gestione del carico rappresentano l’insieme delle soluzioni digitali adoperate per il carico, il monitoraggio e il controllo delle merci, inclusi i prodotti pericolosi. Questi sistemi sono in grado di integrarsi con una diversificata gamma di infrastrutture a terra, quali porti e terminali marittimi. Tali interfacce espandono le potenzialità dei sistemi di gestione del carico, ma al contempo li espongono a rischi connessi agli attacchi informatici.
- Sistemi di supervisione e controllo della propulsione e delle macchine: La fragilità di questi sistemi può aumentare quando il monitoraggio avviene in modalità remota o quando sono integrati con le apparecchiature di navigazione e comunicazione delle navi che utilizzano sistemi integrati a bordo.
- Sistemi di controllo degli accessi comprendono la sorveglianza, allarmi di sicurezza a bordo e sistemi elettronici di identificazione del personale presente a bordo.
- Sistemi di assistenza e gestione dei passeggeri: I sistemi digitali impiegati per il processo di imbarco e il controllo degli accessi possono contenere dati preziosi relativi ai passeggeri.
- Sistemi amministrativi e di benessere dell’equipaggio: Le reti informatiche a bordo, utilizzate per scopi amministrativi e per il benessere dell’equipaggio, diventano particolarmente suscettibili quando offrono accesso a Internet e servizi di posta elettronica.
Questa situazione potrebbe essere sfruttata da individui malevoli nel campo informatico al fine di ottenere accesso ai sistemi di bordo e ai dati sensibili. Le reti, sia fisse che wireless, che sono connesse a Internet e installate a bordo per il comfort dei passeggeri, come ad esempio i sistemi di intrattenimento per gli ospiti, non dovrebbero mai essere interconnesse con sistemi critici per la sicurezza della nave. Questo principio si applica anche ai software forniti dalle società di gestione della nave.
Cyber security nel settore marittimo: linee guida
Nel 2017, l’Organizzazione Marittima Internazionale (IMO) ha adottato la risoluzione MSC.428 (98) sui servizi di Gestione del Rischio Informatico nel Sistema di Gestione della Sicurezza (SMS). Questa risoluzione sottolinea l’importanza che un sistema SMS deve attribuire alla gestione dei rischi informatici, in conformità con gli obiettivi e i requisiti funzionali del codice ISM (International Safety Management).
Parallelamente alle iniziative dell’IMO menzionate precedentemente, il Baltic and International Maritime Council (BIMCO), la più grande associazione marittima internazionale che rappresenta gli armatori, ha contribuito al tema nell’estate del 2019. BIMCO ha aggiornato e pubblicato il documento “Linee Guida sulla Sicurezza Informatica a Bordo delle Navi,” fornendo preziose direttive per assistere gli armatori e gli operatori a bordo delle navi nell’affrontare i rischi legati alla cibersicurezza.
Le linee guida di BIMCO ampliano e dettagliano ulteriormente quanto stabilito dalla risoluzione IMO in materia di sicurezza informatica, identificando i principali rischi, vulnerabilità e minacce informatiche a bordo delle navi e offrendo un approccio basato sul rischio per affrontare queste sfide.
Nel processo di sviluppo di queste linee guida, è stato preso in considerazione l’Istituto Nazionale di Standard e Tecnologia (NIST) degli Stati Uniti. Il framework NIST è noto per assistere le aziende nella valutazione dei rischi informatici, aiutandole a comprendere, gestire e mitigare le potenziali minacce cyber, sia interne che esterne all’azienda. Una parte essenziale di questo processo è la creazione di un “profilo” che aiuta a stabilire le priorità per le azioni di mitigazione dei rischi informatici.
Le linee guida di BIMCO definiscono la sicurezza informatica a bordo delle navi come la protezione sia dei sistemi IT (Information Technology), ovvero quelli utilizzati per il calcolo e la gestione dei dati, sia dei sistemi OT (Operation Technology), cioè quelli utilizzati per monitorare eventi e processi fisici. I sistemi di controllo OT interagiscono direttamente con il mondo fisico, come i sistemi di gestione del carico e del personale a bordo, il che rende i rischi informatici nel settore marittimo rilevanti anche per quanto riguarda l’OT.
Pertanto, è fondamentale rafforzare la sicurezza informatica in entrambe queste tipologie di sistemi, specialmente per quanto riguarda la protezione dei dati scambiati tra di essi. I rischi possono emergere dall’integrazione tra IT e OT, nonché dalla mancanza di aggiornamenti nelle misure di protezione informatica.
Le guidelines IMO pongono l’attenzione sulla gestione dei rischi, che devono essere oggetto di specifici piani e procedure operative da inserire nel sistema SMS (Safety Management System previsto dal ISM Code) per consentire al personale di bordo e di terra di affrontare adeguatamente eventuali incidenti cyber.
Vengono inoltre identificati i potenziali autori di attacchi cyber, ciascuno mosso da un’aspettativa di guadagno, o da motivazioni varie quali spionaggio industriale e diffusione di dati sensibili della società a scopi politici. Infine, IMO ha identificato le varie fasi dell’attacco, che vanno dallo studio della vittima, all’invio/consegna dello strumento utilizzato, all’attacco vero e proprio, fino al cosiddetto pivoting, il principio per il quale l’attacco informatico viene condotto contro i sistemi più vulnerabili, ma, una volta riuscito l’accesso a questi, anche tutti gli altri sistemi diventano potenzialmente vulnerabili dall’interno.
Le linee guida di BIMCO riprendono il contributo di IMO e forniscono un utilissimo sistema di valutazione e gestione degli attacchi, che include la classificazione del rischio (impatto potenziale basso/medio/alto), nonché la sua gestione e valutazione. Viene incoraggiata inoltre la formazione sul rischio cyber, sia del personale di bordo (inclusi comandanti e ufficiali) che di quello a terra, e che dovrebbe ricomprendere informazioni sul rischio nell’utilizzo di internet, delle e-mail, dei dispositivi di bordo, dell’aggiornamento del software, della tutela delle password, delle procedure di gestione degli attacchi. Ciò richiede anche una comprensione di tutti i sistemi di bordo basati su computer e di come la sicurezza può essere compromessa da un incidente informatico. Un altro aspetto legato alla prevenzione degli incidenti di sicurezza considerato da BIMCO riguarda i fornitori esterni.
I servizi erogati dalle aziende sono infatti sempre più integrati all’interno di processi produttivi, sempre più complessi e geograficamente distribuiti, in cui i rapporti e lo scambio di informazioni con le terze parti diventano imprescindibili per il raggiungimento dei risultati attesi e la creazione di valore. La sicurezza di un’azienda dipende quindi dalla sicurezza dell’intera catena del valore. I fornitori meno strutturati, inoltre, costituiscono sempre più spesso il punto di ingresso per gli attaccanti, da cui partire per poi colpire anche le aziende più mature.
La gestione del rischio cyber deve tenere conto delle interazioni con terze parti, come i noleggiatori, suggerendo l’adozione di specifiche clausole per la gestione del rischio informatico nei contratti. Inoltre, è cruciale considerare la relazione tra armatore e agente, dal momento che l’agente è spesso il punto di contatto principale con armatori, operatori logistici, terminal, caricatori e autorità di controllo, scambiando informazioni tecniche e finanziarie sensibili. L’accesso illegittimo a queste informazioni, spesso tramite ransomware, ha già causato in passato la paralisi operativa di intere flotte per ore o giorni, evidenziando la necessità di standardizzare i principi e le procedure di cyber security tra tutti gli attori della filiera.
È fondamentale gestire con attenzione le relazioni con produttori e terzi, inclusi appaltatori e fornitori di servizi, attraverso procedure specifiche per la gestione del rischio informatico. Queste società potrebbero non essere adeguatamente formate in materia di governance del rischio cyber, creando ulteriori vulnerabilità che potrebbero sfociare in incidenti informatici. È essenziale che queste aziende dispongano di una politica aziendale aggiornata per la gestione del rischio informatico, con formazione e procedure di governance facilmente accessibili agli addetti IT.
Gli armatori dovrebbero ottenere garanzie di gestione del rischio cyber quando valutano contratti e servizi futuri, specialmente se la nave deve interagire con terze parti, come terminal o aziende di stivaggio marino. Le Linee Guida BIMCO evidenziano le principali vulnerabilità cyber a bordo delle navi, includendo sistemi operativi obsoleti, antivirus non aggiornati, configurazioni di sicurezza inadeguate, reti di bordo prive di adeguata protezione, e controlli insufficienti sull’accesso di terzi.
Un aspetto cruciale sono le comunicazioni tra nave e terra, un bersaglio comune per gli attacchi hacker. È quindi essenziale monitorare la connessione dei sistemi di bordo a reti non sicure. In quest’analisi, l’elemento umano gioca un ruolo significativo, poiché molti incidenti derivano da azioni del personale.
Le Linee Guida BIMCO raccomandano di includere i rischi cyber nel Sistema di gestione della sicurezza (SMS), progettando misure specifiche per ciascuna nave. Considerata la gestione prevalentemente remota delle operazioni di ripristino in caso di incidenti cyber, si consiglia la creazione di un team di esperti, sia a bordo che a terra, per accelerare il ripristino dei sistemi e il ritorno alla normale operatività.
Cyber security nel settore marittimo: le sfide
La cyber security nel settore marittimo si configura come una sfida complessa che richiede competenze trasversali. In Italia, l’industria dell’automazione si distingue per la sua eccellenza nella fornitura di prodotti per questo settore, specialmente nella costruzione di navi da crociera e yacht, dove il know-how è riconosciuto a livello globale. Questo settore beneficia dell’indotto industriale italiano, noto per la sua ricerca costante di nuove tecnologie e per l’adattamento di quelle provenienti da altri ambiti industriali. Tecnologie come i sistemi di monitoraggio, controllo e sicurezza sono elementi chiave per il futuro dell’industria cantieristica navale.
L’evoluzione in aree quali big data analytics, telecomunicazioni, interazione uomo-macchina, intelligenza artificiale e machine learning, oltre all’uso di energie sostenibili, rappresentano i principali fattori di cambiamento. Questi elementi sono cruciali per ridurre i costi, ottimizzare i processi, migliorare la sicurezza nella navigazione e nella gestione delle operazioni marittime, e per ridurre le emissioni in un contesto di sostenibilità ambientale.
L’adozione di queste nuove tecnologie introduce però nuovi rischi, sottolineando l’importanza di effettuare valutazioni di rischio costanti. Tra questi, il rischio cyber è emerso come una sfida inaspettata per gli operatori e gli enti normativi e certificatori nel settore marittimo. Sistemi di navigazione, controllo della propulsione, gestione del carico e dei passeggeri, così come quelli relativi alla sicurezza delle operazioni offshore, devono essere integrati in un programma di gestione dei rischi cyber che consideri tutte le componenti cruciali: tecnologie, processi e fattore umano.
Il fornitore delle tecnologie ha il compito di garantire le necessarie protezioni tecnologiche per prodotti e reti, curando anche gli aspetti legati ai processi e alla formazione e sensibilizzazione degli utenti. La regolarità e la continuità delle attività di un piano di cyber security sono quindi essenziali per l’industria e rappresentano, nel contempo, un’opportunità di crescita e sviluppo commerciale anche nel settore marittimo.
