Segurança cibernética e os cinco elementos-chave na conformidade regulatória da UR E26

O risco cibernético é uma preocupação crescente em todo o setor de navegação, desde operadores e fretadores de embarcações até portos e a cadeia de suprimentos em geral. Embora o número de soluções tecnológicas esteja aumentando, o peso crescente da regulamentação levantará novas questões sobre o processo de conformidade.

Essas regras irão cada vez mais além da simples implantação de software, passando a envolver um processo de inspeção regular e detalhado que exige colaboração entre estaleiros, armadores, sociedades classificadoras, fabricantes de equipamentos originais (OEMs), operadores de TI e de redes. Talvez tão importante para os armadores sejam os custos potenciais envolvidos para alcançar e manter a conformidade — custos que serão recorrentes, e não despesas pontuais.

Órgãos reguladores, incluindo a IMO e a União Europeia, a Guarda Costeira dos EUA e outros Estados de bandeira, já introduziram orientações ou planejam atualizar a regulamentação em resposta às crescentes ameaças cibernéticas. As normas do setor publicadas pela BIMCO, SIRE e TMSA estão agora sendo complementadas com regulamentos desenvolvidos pela Associação Internacional de Sociedades de Classificação (IACS).

O Requisito Unificado E26 da IACS visa fornecer um conjunto mínimo de requisitos para a resiliência cibernética de navios, destinado ao projeto, construção, comissionamento e vida útil da embarcação.

Seu requisito relacionado, o UR E27, estabelece os recursos mínimos de segurança para que sistemas e equipamentos sejam considerados ciber-resilientes e destina-se a fornecedores terceirizados de equipamentos.

Apesar de a UR E26 ser exigida apenas para novas construções, a Marlink acredita que os armadores buscarão cada vez mais aplicar seus princípios e normas a navios existentes, proporcionando mitigação de riscos para ativos e cargas de alto valor.

Conversas com armadores indicam que eles aplicarão progressivamente a regulamentação às suas frotas, utilizando a UR26 como base para a segurança cibernética em ativos flutuantes.

As URs da IACS serão aplicadas por todas as sociedades de classificação membros, que atuarão como auditoras, com apenas pequenas diferenças na forma como cada uma aplica sua metodologia e definições na documentação. Como ponto de partida para a conformidade com as futuras regulamentações da IACS UR26, a Marlink reuniu cinco aspectos-chave que os armadores já deveriam ter considerado sobre como proceder.

• Documentação

A UR 26 exige um nível de documentação muito mais elevado do que anteriormente, incluindo um plano detalhado da instalação, configuração e fluxos de dados da rede a bordo. Os inspetores esperarão documentação sobre medidas de proteção da rede, incluindo um plano de testes para verificar os controles implementados.  

• Inventário de ativos a bordo

Os proprietários precisarão reunir e manter um inventário dos ativos a bordo e apresentá-lo quando solicitado. O inventário inclui o hardware e o software aplicáveis dos sistemas baseados em computador (CBSs) e das redes que conectam tais sistemas entre si e a outros CBSs a bordo ou em terra.

• Procedimentos

O regulamento exige a criação de novos procedimentos para defesa contra ataques cibernéticos e aumento da mitigação de riscos. Por exemplo, os proprietários precisam entender como criar procedimentos e definir funções e responsabilidades para temas como monitoramento remoto, controle e manutenção dos equipamentos dos navios. O desenvolvimento desses procedimentos é um processo que precisa ocorrer em estreita relação com programas de treinamento e conscientização.

• Treinamento e conscientização

É muito provável que os armadores exijam treinamento em segurança cibernética para as tripulações e, em seguida, realizem treinamentos regulares de conscientização para todo o pessoal, incluindo tripulantes, contratados e prestadores de serviços de manutenção terceirizados. Os tópicos de treinamento incluem como identificar riscos, procedimentos para a recuperação de um sistema com falha, como obter assistência e suporte externos em terra e como testar e monitorar as redes a bordo.

• De reativo a proativo

Soluções cibernéticas comuns podem oferecer uma linha de proteção reativa contra ataques, mas dizem pouco ou nada sobre vulnerabilidades em um nível mais alto. No futuro, a segurança cibernética exigirá não apenas proteção de ativos e redes, mas também avaliações de vulnerabilidade, testes de penetração e outras ferramentas proativas que possam fornecer insights sobre ameaças prováveis e possíveis – e como elas mudam ao longo do tempo.

Conclusão

A UR26 representa uma mudança significativa para o setor marítimo, não apenas por ser a primeira exigência a ser aplicada de forma igualitária a todas as embarcações de construção nova. A carga administrativa adicional que ela gera será considerável, mas, mesmo assim, é provável que normas semelhantes sejam estendidas à frota existente em breve.

No entanto, a UR26 representa apenas uma base de referência acordada para o desempenho. É provável que as regulamentações futuras sejam muito mais exigentes, e a Marlink acredita que os armadores devem tomar medidas adicionais para se protegerem contra ameaças cibernéticas. As exigências dos fretadores, seguradoras, sociedades de classificação e outras partes interessadas provavelmente aumentarão com o tempo.

Os custos incluirão a administração da manutenção de registros necessária para a conformidade, custos mensais de serviços e, potencialmente, centenas de horas de trabalho de consultoria para criar procedimentos e configurações. É provável que os orçamentos gastos pelos armadores em TI precisem aumentar para aproveitar as possibilidades oferecidas pela tecnologia digital e para reforçar a defesa cibernética.

Para alcançar um nível aprimorado de conformidade, o setor precisa de uma nova perspectiva de alto nível sobre as etapas necessárias para permanecer seguro no mar, que vá além da defesa básica.

Nossa experiência com a maior parcela da frota mercante marítima nos mostra que a conformidade com a UR E26 e outras regulamentações não é suficiente por si só. Os armadores precisam considerar quais melhorias adicionais devem ser feitas para garantir que suas frotas possam continuar operando com segurança.

Este artigo foi publicado em 18/03/2025 no Splash 247.