O risco cibernético de OT está chegando a um navio perto de você

O risco cibernético tem sido tradicionalmente associado aos sistemas de TI, mas essa percepção precisa ser alterada o mais rápido possível. À medida que a sofisticação dos ataques cibernéticos aumenta a cada dia, não só é necessário implementar soluções resilientes, mas também ampliar o escopo do que precisa de proteção. 

Por que o risco cibernético em OT está aumentando? 

As ameaças cibernéticas marítimas estão crescendo à medida que mais navios se conectam à internet e suas operações se tornam cada vez mais digitalizadas. Está ocorrendo uma convergência entre sistemas de TI e OT, à medida que os fabricantes equipam seus sistemas com sensores para coleta de dados, criando mais pontos de entrada para ameaças cibernéticas. 

As operadoras de embarcações estão empregando uma gama cada vez maior de ferramentas para coleta de dados, manutenção remota e gêmeos digitais de ciclo de vida, aumentando os vetores de ameaça potenciais para os invasores. 

Os hackers estão atacando cada vez mais alvos marítimos, seja por ganho comercial ou por intenção maliciosa. Ao explorar vulnerabilidades de TI/OT, como atacar sistemas obsoletos usando técnicas de phishing e engenharia social, os cibercriminosos tentam acessar os sistemas dos navios e, uma vez dentro da rede, podem comprometer os sistemas OT. 

As consequências podem afetar a segurança das pessoas, o meio ambiente e as operações das embarcações. 

Quais são os riscos para os equipamentos OT? 

Os riscos para equipamentos OT, como o motor, os sistemas elétricos ou a eletrônica da ponte, variam desde a perda de controle dos sistemas de navegação da frente e de trás da ponte até o comprometimento dos dados de navegação e outros dados de segurança. A perda de controle de navegação ou o impacto na carga, bem como o bloqueio ou a falsificação de GPS, são problemas reais.

Os sistemas OT a bordo de navios, provenientes de diversos fabricantes de equipamentos, são alvos principais para ataques cibernéticos. A invasão de funções críticas de controle dos sistemas do navio, como manuseio de carga, propulsão e direção, energia auxiliar, emissões e controle de poluição, pode resultar em perda de controle e, em última instância, na falha das operações do navio. 

Como me proteger contra esse risco? 

Proprietários e operadores de embarcações dispõem de várias ferramentas para mitigar os riscos e se proteger contra ameaças cibernéticas. Além disso, eles estão sob crescente pressão para cumprir regulamentações e certificações, em particular os Requisitos Unificados desenvolvidos pela Associação Internacional de Sociedades de Classificação (IACS). 

Assim como outros equipamentos a bordo do navio, os sistemas eletrônicos da ponte e os modernos sistemas integrados de ponte atuais devem estar em conformidade com os Requisitos Unificados (UR) E26 e E27 da IACS. 

Enquanto o UR E26 exige que os estaleiros demonstrem que os navios que constroem são resilientes a ataques cibernéticos, atendendo a um conjunto mínimo de requisitos de segurança cibernética, o UR E27 concentra-se na resiliência cibernética de sistemas e equipamentos individuais a bordo. 

Embora o foco tenha sido a conformidade no setor de transporte marítimo, os operadores do mercado de energia devem observar que a E26 também se aplica a plataformas offshore.

Como posso saber se meu equipamento OT é seguro e está em conformidade? 

Atualmente, os URs da IACS são aplicáveis apenas a embarcações de construção nova, mas a IACS e a IMO esperam que os mesmos padrões se apliquem em breve às embarcações existentes regulamentadas pela SOLAS. 

Para embarcações recém-construídas, as partes interessadas da embarcação precisarão trabalhar com seu parceiro de tecnologia e a Sociedade de Classificação para demonstrar que a embarcação foi construída e é operada em conformidade com os requisitos da UR quando auditada por uma Sociedade de Classificação. 

A realização de auditorias regulares, testes de penetração ou avaliações de terceiros são ferramentas que permitem aos operadores manter uma postura segura e em conformidade para equipamentos OT. 

A conformidade é suficiente para garantir a segurança? 

A conformidade com as URs ou outras regulamentações não protege, por si só, o ativo ou a frota. A conformidade é uma base, mas é necessária uma abordagem proativa e contínua à segurança cibernética. Proprietários e operadores precisam trabalhar com parceiros de tecnologia para garantir que tenham o nível adequado de segurança cibernética. 

Isso inclui, entre outros itens, proteção nos níveis de rede, dispositivos e pessoal, e pode ser estendido ao uso de serviços de detecção proativos que avaliam a eficácia das medidas de proteção instaladas.

Existem soluções disponíveis para detectar ameaças cibernéticas contra equipamentos OT, combinadas com a segregação entre redes de TI/OT e segurança e controle em vários níveis. 

Em conclusão, à medida que os riscos cibernéticos de OT continuam a crescer no setor marítimo, é essencial adotar medidas de segurança abrangentes e operar em conformidade com as URs E26 e E27 da IACS. 

Ao compreender os riscos, implementar proteções robustas e manter a vigilância, proprietários e operadores podem ajudar a proteger as operações de suas embarcações contra ameaças cibernéticas e melhorar a segurança de suas tripulações e do meio ambiente. 

Quer garantir que os sistemas OT a bordo de suas embarcações estejam em conformidade e protegidos? Entre em contato com o escritório local da Marlink hoje mesmo para discutir como podemos ajudar.