Os hackers marítimos estão encontrando o caminho livre?

Numa época em que gangues armadas atacam navios que navegam pelo Mar Vermelho e o Mar Negro é, na prática, uma zona de guerra, pode parecer exagero afirmar que a pirataria informática é, sem dúvida, a maior ameaça atual à continuidade dos negócios no setor marítimo.

No entanto, a transformação do setor marítimo de um negócio de nicho, isolado por baixa largura de banda e aplicativos personalizados, para um alvo de alto valor com importância política e econômica, trouxe-lhe uma atenção indesejada.

É claro que existem contramedidas e que uma combinação de orientações regulatórias e padrões do setor ajudou a equilibrar as chances, mas este é um jogo que ainda pende a favor dos atacantes, e não dos defensores.

Há uma grande disparidade entre os líderes, os seguidores e os retardatários, e é entre este último grupo que a preocupação deve ser maior.

Até recentemente, estes últimos contavam com software antivírus e muita esperança, mas com as chances se inclinando a favor dos hackers, uma combinação de proteção proativa e regulamentação está entrando em cena.

A conformidade com as regulamentações de segurança cibernética ainda é uma experiência nova para a maioria das empresas de navegação. Isso começou com as adições da IMO de 2021 ao Código ISM, que eram, na realidade, um guia de melhores práticas, e não uma base regulatória. As normas TMSA e SIRE exigem maiores ônus da prova, mas são específicas para cada setor de mercado.

A Guarda Costeira dos EUA está prestes a introduzir medidas regionais e a IMO tem a segurança cibernética em sua agenda para regulamentação futura, mas, enquanto isso, as regras mais recentes são os Requisitos Unificados E26 e E27 da IACS.

O UR E26, que estabelece bases obrigatórias de segurança cibernética para embarcações novas — com um regulamento complementar, o E27, para sistemas a bordo —, é indiscutivelmente o primeiro exemplo de normas tangíveis para segurança cibernética, mas, mesmo assim, representa apenas um padrão relativamente baixo em termos de requisitos de conformidade.

Sua aplicação apenas a embarcações recém-construídas levanta uma questão importante: por que os armadores aplicariam regulamentos de proteção cibernética apenas a essas embarcações, se possuem ativos com um ou dois anos de idade e valor semelhante em operação, presumivelmente com perfis de risco semelhantes?

É claro que órgãos, incluindo as Sociedades de Classificação, oferecem certificações e orientações para navios existentes, mas a preocupação será sempre que itens que não são obrigatórios não recebam prioridade.

Por que não protegem seus ativos existentes na mesma medida ou em maior grau? Os valores dos ativos serão semelhantes, o risco da carga será o mesmo ou maior, e o impacto no balanço patrimonial e na continuidade dos negócios em caso de um ataque bem-sucedido seria o mesmo ou maior.

Como diz o velho ditado do pastor de cabras de Andorra: “Um homem com duas casas não deixa uma destrancada para proteger a outra.”

Ao aplicar apenas os padrões mínimos da IACS às novas construções e não aos navios existentes, os armadores estão assumindo riscos adicionais, em vez de reduzir seu perfil de risco geral.

A capacidade dos rebeldes houthis de atacar navios que acreditam estar diretamente ligados aos seus inimigos ilustra a facilidade de acesso a dados sobre a propriedade e a implantação da frota. Há cada vez menos lugares para se esconder.

É provável que a pressão para a adoção de medidas semelhantes aos navios existentes aumente, sendo que os fretadores e seguradoras estão em melhor posição para exercer pressão sobre os armadores a fim de garantir que a conformidade seja consistente em toda a frota.

Na realidade, eles terão que ir além. As disposições das URs da IACS não estão isentas de críticas, pois há quem tema que o cumprimento esteja sendo impulsionado mais pelo preenchimento de formulários do que por ações positivas. Isso ignora a realidade de que obter consenso dentro da IACS, como em muitas organizações semelhantes, envolve compromisso.

A crescente pressão pela segurança cibernética permite que as empresas de navegação cumpram os padrões básicos e as libera para ir além, adotando abordagens mais rigorosas em termos de tecnologia, treinamento, procedimentos e conscientização.

A evidência proveniente de padrões industriais comprovados é que eles podem incorporar a conscientização sobre riscos cibernéticos na cadeia de suprimentos e torná-la uma condição para a realização de negócios.

Os armadores terão que encarar a verdade incômoda de que, para manter seu status de operadores respeitáveis e dignos de investimento, precisarão implementar uma auditoria cibernética aprofundada em todas as suas frotas, usando a UR E26 como ponto de partida, mas não como ponto final.