BIMCO ha recentemente pubblicato la terza edizione delle \u201cGuidelines on Cyber Security Onboard Ships\u201d, volte a fornire raccomandazioni pratiche sulla gestione del rischio cyber a bordo delle navi.<\/p>\n
Le linee guida distinguono:<\/p>\n
la \u201cCyber security<\/em><\/strong>\u201d, intesa come:<\/p>\n la \u201cCyber safety<\/em><\/strong>\u201d, che concerne i rischi di perdita o danneggiamento di dati e di OT.<\/p>\n Le linee guida richiamano e sviluppano il contenuto della risoluzione IMO in materia di Cyber security (MSC.428-98), che identifica i principali rischi cyber <\/em>a bordo delle navi. Nelle guidelines <\/em>viene posta l\u2019attenzione sulla gestione dei rischi<\/strong>, che devono essere oggetto di specifici piani e procedure operative da inserire nel SMS<\/strong> (Safety Management System previsto dal ISM Code) per consentire al personale di bordo e di terra di affrontare adeguatamente eventuali incidenti cyber<\/em>.<\/p>\n Gestione del rischio cyber con utilizzatori della nave e agenti<\/strong><\/em><\/p>\n La gestione di tale rischio deve essere affrontata anche con i soggetti terzi che esercitino la nave, ad esempio l\u2019eventuale noleggiatore<\/strong>, con i quali si suggerisce di stipulare una specifica clausola di gestione del rischio informatico<\/strong>, nonch\u00e9 nel rapporto tra shipowner<\/em> e agente<\/strong>, essendo quest\u2019ultimo il soggetto che con maggior frequenza si interfaccia con armatori, operatori logistici, terminal, caricatori e autorit\u00e0 di controllo, spesso scambiando informazioni rilevanti di natura tecnica e finanziaria. Sono purtroppo gi\u00e0 noti casi di ransomware <\/em>dei quali sono rimasti vittime agenti marittimi<\/strong>, che hanno coinvolto anche le linee di navigazione mandanti, bloccando talvolta l\u2019operativit\u00e0 di un\u2019intera flotta per diverse ore o giorni: \u00e8 evidente pertanto la necessit\u00e0 di armonizzazione tra linee ad agenti marittimi dei principi e delle procedure di cyber security.<\/em><\/p>\n Nelle guidelines vengono identificati i potenziali autori<\/strong> di attacchi cyber: attivisti, ex dipendenti, criminali, Stati, organizzazioni supportate da Stati, terroristi, hackers. Ciascuno \u00e8 spinto da motivazioni diverse quali il guadagno, lo spionaggio industriale, la diffusione di dati sensibili della societ\u00e0 a scopi politici.<\/p>\n Classificazione dei rischi: targeted \/ untargeted attacks<\/strong><\/em><\/p>\n Gli attacchi cyber vengono classificati in:<\/p>\n untargeted attacks<\/em><\/strong> \u2013 la vittima dell\u2019attacco non \u00e8 identificata; solitamente per questa tipologia di attacchi vengono utilizzati strumenti informatici disponibili sul web, quali:<\/p>\n targeted attacks<\/em><\/strong> \u2013 la vittima dell\u2019attacco \u00e8 specificamente identificata: esempi di tecnologie utilizzate per questo tipo di attacchi sono:<\/p>\n Il tempo di risposta medio tra l\u2019attacco e la sua scoperta \u00e8 di ben 140 giorni: \u00e8 un dato in forte diminuzione, grazie all\u2019aumento della consapevolezza del cyber risk<\/em>, ma che ancora risulta del tutto inadeguato. Le linee guida identificano le varie fasi dell\u2019attacco, che vanno dallo studio della vittima, all\u2019invio\/consegna dello strumento utilizzato, all\u2019attacco vero e proprio, fino al c.d. pivoting<\/em><\/strong>: l\u2019attacco viene spesso sferrato sui sistemi pi\u00f9 vulnerabili, ma una volta effettuato l\u2019accesso, tutti gli altri sistemi sono potenzialmente vulnerabili \u201cdall\u2019interno\u201d.<\/strong><\/p>\n Sistemi di bordo vulnerabili<\/strong><\/em><\/p>\n Tra i sistemi informatici pi\u00f9 delicati e vulnerabili a bordo delle navi vengono elencati i sistemi di gestione del carico<\/strong>, che controllano caricazione, scaricazione, merci pericolose e che si interfacciano con porti e i terminal, i sistemi del ponte di comando<\/strong> quali i sistemi di navigazione, l\u2019ECIDIS, GNSS, AIS, VDR, radar. Altrettanto sensibili sono i sistemi di gestione della propulsione<\/strong>, i sistemi di controllo degli accessi<\/strong>, di sorveglianza a bordo, i tablet utilizzati dal personale di bordo, i sistemi di comunicazione.<\/strong><\/p>\n Spesso la vulnerabilit\u00e0 di tali sistemi \u00e8 causata dall\u2019utilizzo di sistemi operativi obsoleti<\/strong>, dall\u2019assenza di software antivirus<\/strong>, dall\u2019inadeguatezza e dall\u2019inefficienza della gestione dei sistemi informatici e controllo degli accessi<\/strong> agli stessi. In via esemplificativa, talvolta viene consentito l\u2019accesso ai sistemi di bordo con attrezzatura informatica personale dei dipendenti\/fornitori: questo consente un notevole risparmio sulle attrezzature, ma comporta necessariamente un rischio sul controllo degli accessi.<\/p>\n Le linee guida forniscono un utilissimo sistema di valutazione e gestione degli attacchi<\/strong>, che include la classificazione del rischio (impatto potenziale basso\/medio\/alto), nonch\u00e9 la sua gestione e valutazione (pre-assessment, ship assessment, debrief and vulnerability review\/reporting, producer debrief).<\/p>\n Viene incoraggiata inoltre la formazione sul rischio cyber<\/em><\/strong>, sia del personale di bordo (inclusi comandanti e ufficiali) che di quello a terra, e che dovrebbe ricomprendere informazioni sul rischio nell\u2019utilizzo di internet, delle email, dei dispositivi di bordo, dell\u2019aggiornamento del software, della tutela delle password, delle procedure di gestione degli attacchi.<\/p>\n Raccomandiamo a tutti gli operatori del settore la lettura e lo studio approfondito delle linee guida, che potete scaricare a questo link:<\/p>\n\n
\n
\n
\n