Μήπως οι ναυτιλιακοί χάκερ βρίσκουν τον δρόμο τους ανοιχτό;

Σε μια εποχή που ένοπλες συμμορίες επιτίθενται σε πλοία που πλέουν στη Ερυθρά Θάλασσα και η Μαύρη Θάλασσα αποτελεί ουσιαστικά ζώνη πολέμου, μπορεί να φαίνεται υπερβολικό να υποστηρίξει κανείς ότι η πειρατεία στον κυβερνοχώρο αποτελεί αναμφισβήτητα τη μεγαλύτερη απειλή για τη συνέχεια των επιχειρήσεων στον ναυτιλιακό τομέα.

Ωστόσο, η μεταμόρφωση του ναυτιλιακού κλάδου από μια εξειδικευμένη δραστηριότητα, απομονωμένη λόγω χαμηλού εύρους ζώνης και εξειδικευμένων εφαρμογών, σε έναν στόχο υψηλής αξίας με πολιτική και οικονομική σημασία, του έχει προσφέρει ανεπιθύμητη προσοχή.

Φυσικά, υπάρχουν αντίμετρα και ένας συνδυασμός κανονιστικών οδηγιών και βιομηχανικών προτύπων έχει συμβάλει στην εξισορρόπηση των πιθανοτήτων, αλλά αυτό είναι ένα παιχνίδι που εξακολουθεί να ευνοεί τους επιτιθέμενους παρά τους αμυνόμενους.

Υπάρχει μεγάλη διαφορά μεταξύ των ηγετών, των οπαδών και των ουραγών και είναι μεταξύ αυτής της τελευταίας ομάδας όπου η ανησυχία πρέπει να είναι μεγαλύτερη.

Μέχρι πρόσφατα, οι τελευταίοι βασίζονταν σε λογισμικό προστασίας από ιούς και σε πολλές ευχές, αλλά με τις πιθανότητες να κλίνουν υπέρ των χάκερ, μπαίνει στο παιχνίδι ένας συνδυασμός προληπτικής προστασίας και κανονιστικών ρυθμίσεων.

Η συμμόρφωση με τους κανονισμούς για την ασφάλεια στον κυβερνοχώρο εξακολουθεί να αποτελεί μια νέα εμπειρία για τις περισσότερες ναυτιλιακές εταιρείες. Αυτό ξεκίνησε με τις προσθήκες του 2021 του ΔΝΟ στον Κώδικα ISM, οι οποίες στην πραγματικότητα αποτελούσαν έναν οδηγό βέλτιστων πρακτικών και όχι μια κανονιστική βάση. Τα πρότυπα TMSA και SIRE απαιτούν υψηλότερο βάρος απόδειξης, αλλά αυτά είναι ειδικά για τον συγκεκριμένο τομέα της αγοράς.

Η Ακτοφυλακή των ΗΠΑ πρόκειται να εισαγάγει περιφερειακά μέτρα και ο ΔΝΟ έχει θέσει την κυβερνοασφάλεια στην ατζέντα του για μελλοντική ρύθμιση, αλλά εν τω μεταξύ, οι νεότεροι κανόνες που έχουν εμφανιστεί είναι οι Ενιαίες Απαιτήσεις E26 και E27 της IACS.

Το UR E26, το οποίο παρέχει υποχρεωτικές βασικές απαιτήσεις για την ασφάλεια στον κυβερνοχώρο για τα νεότευκτα πλοία – με έναν συνοδευτικό κανονισμό E27 για τα συστήματα επί των πλοίων – είναι αναμφισβήτητα τα πρώτα παραδείγματα απτών προτύπων για την ασφάλεια στον κυβερνοχώρο, αλλά ακόμη και έτσι αντιπροσωπεύουν μόνο ένα σχετικά χαμηλό όριο όσον αφορά τις απαιτήσεις συμμόρφωσης.

Η εφαρμογή τους μόνο στα νεότευκτα πλοία θέτει ένα σημαντικό ερώτημα: γιατί οι πλοιοκτήτες να εφαρμόζουν κανονισμούς για την προστασία στον κυβερνοχώρο μόνο σε αυτά τα πλοία, αν διαθέτουν πλοία ενός ή δύο ετών παρόμοιας αξίας, τα οποία πιθανότατα έχουν παρόμοια προφίλ κινδύνου;

Φυσικά, φορείς όπως οι νηογνώμονες προσφέρουν πιστοποιήσεις και καθοδήγηση για τα υπάρχοντα πλοία, αλλά η ανησυχία θα είναι πάντα ότι τα στοιχεία που δεν είναι υποχρεωτικά δεν λαμβάνουν προτεραιότητα.

Γιατί δεν προστατεύουν τα υπάρχοντα περιουσιακά τους στοιχεία στον ίδιο βαθμό ή σε μεγαλύτερο; Η αξία των περιουσιακών στοιχείων θα είναι παρόμοια, ο κίνδυνος φορτίου ο ίδιος ή μεγαλύτερος, ενώ ο αντίκτυπος στον ισολογισμό και στη συνέχεια της επιχειρηματικής δραστηριότητας από μια επιτυχημένη επίθεση θα ήταν ο ίδιος ή μεγαλύτερος.

Όπως λέει το παλιό ρητό του βοσκού από την Ανδόρα: «Ένας άνθρωπος με δύο σπίτια δεν αφήνει το ένα ξεκλείδωτο για να προστατεύσει το άλλο».

Εφαρμόζοντας τα ελάχιστα πρότυπα της IACS μόνο στα νεότευκτα πλοία και όχι στα υπάρχοντα, οι πλοιοκτήτες αναλαμβάνουν επιπλέον κίνδυνο αντί να μειώνουν το συνολικό προφίλ κινδύνου τους.

Η ικανότητα των ανταρτών Χούτι να στοχεύουν πλοία που πιστεύουν ότι συνδέονται άμεσα με τους εχθρούς τους, καταδεικνύει την ευκολία πρόσβασης σε δεδομένα σχετικά με την ιδιοκτησία και την ανάπτυξη του στόλου. Υπάρχουν όλο και λιγότερα μέρη για να κρυφτεί κανείς.

Η πίεση για την υιοθέτηση παρόμοιων μέτρων στα υπάρχοντα πλοία είναι πιθανό να αυξηθεί, με τους ναυλωτές και τους ασφαλιστές να βρίσκονται στην καλύτερη θέση για να ασκήσουν πίεση στους πλοιοκτήτες ώστε να διασφαλίσουν ότι η συμμόρφωση είναι συνεπής σε ολόκληρο τον στόλο.

Στην πραγματικότητα, θα πρέπει να προχωρήσουν ακόμη πιο μακριά. Οι διατάξεις των UR της IACS δεν στερούνται κριτικών, οι οποίοι φοβούνται ότι η συμμόρφωση καθοδηγείται από την απλή τήρηση των απαιτήσεων και όχι από θετικές ενέργειες. Αυτό παραβλέπει την πραγματικότητα ότι η επίτευξη συναίνεσης εντός της IACS, όπως και σε πολλές παρόμοιες οργανώσεις, είναι θέμα συμβιβασμού.

Η αυξανόμενη πίεση για την ασφάλεια στον κυβερνοχώρο επιτρέπει στις ναυτιλιακές εταιρείες να πληρούν τα βασικά πρότυπα και τους δίνει την ελευθερία να προχωρήσουν περαιτέρω, υιοθετώντας πιο αυστηρές προσεγγίσεις όσον αφορά την τεχνολογία, την εκπαίδευση, τις διαδικασίες και την ευαισθητοποίηση.

Τα αποδεδειγμένα αποτελέσματα των δοκιμασμένων και ελεγμένων βιομηχανικών προτύπων δείχνουν ότι μπορούν να ενσωματώσουν την ευαισθητοποίηση σχετικά με τους κινδύνους στον κυβερνοχώρο στην αλυσίδα εφοδιασμού και να την καταστήσουν προϋπόθεση για τη διεξαγωγή επιχειρηματικών δραστηριοτήτων.

Οι πλοιοκτήτες θα πρέπει να αντιμετωπίσουν την δυσάρεστη αλήθεια ότι, για να διατηρήσουν το κύρος τους ως αξιόπιστοι και επενδύσιμοι φορείς εκμετάλλευσης, θα πρέπει να εφαρμόσουν έναν εμπεριστατωμένο έλεγχο στον κυβερνοχώρο σε ολόκληρο τον στόλο τους, χρησιμοποιώντας το UR E26 ως σημείο εκκίνησης, αλλά όχι ως τελικό στόχο.