Η κυβερνοασφάλεια και τα πέντε βασικά στοιχεία της συμμόρφωσης με τον κανονισμό UR E26

Ο κυβερνοκίνδυνος αποτελεί ένα αυξανόμενο πρόβλημα σε ολόκληρο τον κλάδο της ναυτιλίας, από τους διαχειριστές και τους ναυλωτές πλοίων έως τα λιμάνια και την ευρύτερη εφοδιαστική αλυσίδα. Ενώ ο αριθμός των τεχνολογικών λύσεων αυξάνεται ραγδαία, το αυξανόμενο βάρος της νομοθεσίας θα θέσει νέα ερωτήματα σχετικά με τη διαδικασία συμμόρφωσης.

Αυτοί οι κανόνες θα ξεπερνούν όλο και περισσότερο την απλή εγκατάσταση λογισμικού και θα οδηγούν σε μια τακτική, λεπτομερή διαδικασία επιθεώρησης που απαιτεί συνεργασία μεταξύ ναυπηγείων, πλοιοκτητών, νηογνωμοδοτικών οργανισμών, κατασκευαστών πρωτότυπου εξοπλισμού (OEM), τεχνολογιών πληροφορικής και διαχειριστών δικτύων. Ίσως εξίσου σημαντικό για τους πλοιοκτήτες είναι το ενδεχόμενο κόστος που συνεπάγεται η επίτευξη και η διατήρηση της συμμόρφωσης – κόστος που θα είναι επαναλαμβανόμενο και όχι εφάπαξ.

Οι ρυθμιστικές αρχές, συμπεριλαμβανομένου του ΔΝΟ και της Ευρωπαϊκής Ένωσης, της Ακτοφυλακής των ΗΠΑ και άλλων κρατών σημαίας, έχουν ήδη εισαγάγει κατευθυντήριες γραμμές ή σχεδιάζουν να επικαιροποιήσουν τη νομοθεσία ως απάντηση στις αυξανόμενες απειλές στον κυβερνοχώρο. Τα βιομηχανικά πρότυπα που έχουν δημοσιευθεί από το BIMCO, το SIRE και το TMSA συμπληρώνονται πλέον με κανονισμούς που έχουν αναπτυχθεί από τη Διεθνή Ένωση Ναυτιλιακών Οργανισμών Ταξινόμησης (IACS).

Η Ενιαία Απαίτηση E26 της IACS αποσκοπεί στην παροχή ενός ελάχιστου συνόλου απαιτήσεων για την ανθεκτικότητα των πλοίων στον κυβερνοχώρο, που προορίζονται για το σχεδιασμό, την κατασκευή, τη θέση σε λειτουργία και τη διάρκεια ζωής του πλοίου.

Η σχετική απαίτηση UR E27 παρέχει τις ελάχιστες δυνατότητες ασφάλειας για συστήματα και εξοπλισμό που πρέπει να θεωρούνται ανθεκτικά στον κυβερνοχώρο και προορίζεται για τρίτους προμηθευτές εξοπλισμού.

Παρά το γεγονός ότι η UR E26 απαιτείται μόνο για νεότευκτα πλοία, η Marlink πιστεύει ότι οι πλοιοκτήτες θα επιδιώκουν όλο και περισσότερο να εφαρμόσουν τις αρχές και τα πρότυπά της σε υπάρχοντα πλοία, παρέχοντας μετριασμό κινδύνου για περιουσιακά στοιχεία και φορτία υψηλής αξίας.

Από συζητήσεις με πλοιοκτήτες προκύπτει ότι θα εφαρμόσουν σταδιακά τον κανονισμό στους στόλους τους, χρησιμοποιώντας την UR26 ως βάση αναφοράς για την κυβερνοασφάλεια των πλωτών περιουσιακών στοιχείων.

Οι UR της IACS θα εφαρμοστούν από όλους τους οργανισμούς πιστοποίησης που είναι μέλη της, οι οποίοι θα ενεργούν ως ελεγκτές, με μόνο μικρές διαφορές στον τρόπο με τον οποίο ο καθένας εφαρμόζει τη μεθοδολογία και τους ορισμούς του εντός της τεκμηρίωσης. Ως σημείο εκκίνησης για τη συμμόρφωση με τους επικείμενους κανονισμούς UR26 της IACS, η Marlink έχει συγκεντρώσει πέντε βασικά σημεία που οι πλοιοκτήτες θα έπρεπε να έχουν ήδη εξετάσει σχετικά με τον τρόπο με τον οποίο θα προχωρήσουν.

• Τεκμηρίωση

Το UR 26 απαιτεί πολύ υψηλότερο επίπεδο τεκμηρίωσης από ό,τι στο παρελθόν, συμπεριλαμβανομένου ενός λεπτομερούς σχεδίου για την εγκατάσταση, τη διαμόρφωση και τις ροές δεδομένων του δικτύου επί του σκάφους. Οι επιθεωρητές θα αναμένουν τεκμηρίωση σχετικά με τα μέτρα προστασίας του δικτύου, συμπεριλαμβανομένου ενός σχεδίου δοκιμών για την επαλήθευση των εφαρμοζόμενων ελέγχων.  

• Απογραφή των περιουσιακών στοιχείων επί του σκάφους

Οι ιδιοκτήτες θα πρέπει να καταρτίσουν και να διατηρούν κατάλογο των περιουσιακών στοιχείων επί του σκάφους και να τον προσκομίζουν κατόπιν αιτήματος. Ο κατάλογος περιλαμβάνει το σχετικό υλικό και λογισμικό των συστημάτων που βασίζονται σε υπολογιστές (CBS) και των δικτύων που συνδέουν τα εν λόγω συστήματα μεταξύ τους και με άλλα CBS επί του σκάφους ή στην ξηρά.

• Διαδικασίες

Ο κανονισμός απαιτεί τη δημιουργία νέων διαδικασιών για την άμυνα έναντι κυβερνοεπιθέσεων και την αύξηση της μείωσης του κινδύνου. Για παράδειγμα, οι πλοιοκτήτες πρέπει να κατανοήσουν πώς να δημιουργούν διαδικασίες και να ορίζουν ρόλους και αρμοδιότητες για θέματα όπως η απομακρυσμένη παρακολούθηση, ο έλεγχος και η συντήρηση του εξοπλισμού των πλοίων. Η ανάπτυξη αυτών των διαδικασιών είναι μια διαδικασία που πρέπει να πραγματοποιείται σε στενή σχέση με προγράμματα κατάρτισης και ευαισθητοποίησης.

• Εκπαίδευση και ευαισθητοποίηση

Είναι πολύ πιθανό οι πλοιοκτήτες να απαιτήσουν εκπαίδευση σε θέματα κυβερνοασφάλειας για τα πληρώματα και να την ακολουθήσουν με τακτική εκπαίδευση ευαισθητοποίησης για όλο το προσωπικό, συμπεριλαμβανομένων των πληρωμάτων, των εργολάβων και των τρίτων φορέων συντήρησης. Τα θέματα εκπαίδευσης περιλαμβάνουν τον τρόπο αναγνώρισης των κινδύνων, τις διαδικασίες αποκατάστασης ενός συστήματος που έχει υποστεί βλάβη, τον τρόπο λήψης εξωτερικής βοήθειας και υποστήριξης από την ξηρά και τον τρόπο δοκιμής και παρακολούθησης των δικτύων επί του σκάφους.

• Από την αντιδραστική στην προληπτική προσέγγιση

Οι κοινές λύσεις στον τομέα της κυβερνοασφάλειας μπορούν να προσφέρουν μια γραμμή αντιδραστικής προστασίας έναντι επιθέσεων, αλλά δεν παρέχουν σχεδόν καμία πληροφορία σχετικά με τις ευπάθειες σε υψηλότερο επίπεδο. Στο μέλλον, η κυβερνοασφάλεια θα απαιτεί όχι μόνο την προστασία των περιουσιακών στοιχείων και του δικτύου, αλλά και αξιολογήσεις ευπάθειας, δοκιμές διείσδυσης και άλλα προληπτικά εργαλεία που μπορούν να παρέχουν πληροφορίες σχετικά με πιθανές και πιθανότατες απειλές – καθώς και τον τρόπο με τον οποίο αυτές μεταβάλλονται με την πάροδο του χρόνου.

Συμπέρασμα

Το UR26 αποτελεί μια σημαντική αλλαγή για τη ναυτιλιακή βιομηχανία, όχι μόνο ως η πρώτη απαίτηση που εφαρμόζεται εξίσου σε όλα τα νεότευκτα πλοία. Ο επιπλέον διοικητικός φόρτος που δημιουργεί θα είναι σημαντικός, αλλά παρόλα αυτά, είναι πιθανό ότι παρόμοια πρότυπα θα επεκταθούν στον υπάρχοντα στόλο σύντομα.

Ωστόσο, το UR26 αντιπροσωπεύει μόνο μια συμφωνημένη βάση αναφοράς για την απόδοση. Οι μελλοντικοί κανονισμοί είναι πιθανό να είναι πολύ πιο απαιτητικοί και η Marlink πιστεύει ότι οι πλοιοκτήτες πρέπει να λάβουν πρόσθετα μέτρα για να προστατευθούν από τις απειλές στον κυβερνοχώρο. Οι απαιτήσεις των ναυλωτών, των ασφαλιστών, των νηογνωμοδοτικών οργανισμών και άλλων ενδιαφερόμενων μερών θα αυξηθούν πιθανώς με την πάροδο του χρόνου.

Το κόστος θα προέλθει από τη διαχείριση της τήρησης αρχείων που απαιτείται για τη συμμόρφωση, τα μηνιαία έξοδα υπηρεσιών και, ενδεχομένως, εκατοντάδες ώρες συμβουλευτικής εργασίας για τη δημιουργία διαδικασιών και ρυθμίσεων. Είναι πιθανό ότι οι προϋπολογισμοί που δαπανούν οι πλοιοκτήτες για την πληροφορική θα πρέπει να αυξηθούν, προκειμένου να αξιοποιηθούν οι δυνατότητες που προσφέρει η ψηφιακή τεχνολογία και να ενισχυθεί η κυβερνοάμυνα.

Για να επιτευχθεί ένα βελτιωμένο επίπεδο συμμόρφωσης, ο κλάδος χρειάζεται μια νέα, υψηλού επιπέδου προοπτική σχετικά με τα μέτρα που απαιτούνται για τη διατήρηση της ασφάλειας στη θάλασσα, η οποία να υπερβαίνει την βασική άμυνα.

Η εμπειρία μας με το μεγαλύτερο μερίδιο του εμπορικού ναυτικού μας δείχνει ότι η συμμόρφωση με το UR E26 και άλλους κανονισμούς δεν αρκεί από μόνη της. Οι πλοιοκτήτες πρέπει να εξετάσουν ποιες περαιτέρω βελτιώσεις πρέπει να γίνουν για να διασφαλίσουν ότι οι στόλοι τους μπορούν να συνεχίσουν να λειτουργούν με ασφάλεια.

Αυτό το άρθρο δημοσιεύθηκε στις 18.03.2025 στο Splash 247.