Hoće li pomorski hakeri provaliti kroz otvorena vrata?

U vrijeme kada naoružane bande napadaju brodove koji plove Crvenim morem, a Crno more je praktički ratna zona, može se činiti pretjerivanjem tvrditi da je hakiranje vjerojatno najveća trenutna prijetnja kontinuitetu poslovanja u pomorstvu.

Međutim, transformacija pomorske industrije iz nišnog poslovanja, izoliranog niskom propusnošću i prilagođenim aplikacijama, u cilj visoke vrijednosti s političkim i gospodarskim značajem, donijela joj je neželjenu pozornost.

Naravno, postoje protumjere, a kombinacija regulatornih smjernica i industrijskih standarda pomogla je izjednačiti izglede, ali ovo je igra koja je i dalje u korist napadača, a ne branitelja.

Postoji velika razlika između predvodnika, pratitelja i zaostalih, a upravo bi se u posljednjoj skupini zabrinutost trebala biti najveća.

Do nedavno su se ovi potonji oslanjali na antivirusni softver i puno prekriženih prstiju, ali kako se izgledi okreću u korist hakera, na scenu stupa kombinacija proaktivne zaštite i regulative.

Usklađenost s propisima o kibernetičkoj sigurnosti i dalje je novo iskustvo za većinu pomorskih kompanija. To je započelo s dodatcima IMO-a iz 2021. na ISM kodeks, koji su u stvarnosti bili vodič za najbolje prakse, a ne regulatorna osnova. TMSA i SIRE standardi zahtijevaju viši teret dokazivanja, ali oni su specifični za pojedini tržišni sektor.

Američka obalna straža (US Coast Guard) spremna je uvesti regionalne mjere, a IMO ima kibernetičku sigurnost na svom dnevnom redu za buduću regulativu, no u međuvremenu najnovija pravila su IACS jedinstveni zahtjevi E26 i E27.

UR E26, koji pruža obvezne temeljne standarde kibernetičke sigurnosti za novogradnje – uz popratnu uredbu E27 za brodske sustave – vjerojatno su prvi primjeri opipljivih standarda za kibernetičku sigurnost, ali čak i tako predstavljaju samo relativno nisku ljestvicu u pogledu zahtjeva za usklađenost.

Njihova primjena samo na novogradnje postavlja važno pitanje: zašto bi vlasnici primjenjivali propise o kibernetičkoj zaštiti samo na ta plovila, ako imaju imovinu staru godinu ili dvije slične vrijednosti na vodi, pretpostavljamo sličnih profila rizika?

Naravno, tijela, uključujući društva za klasifikaciju, nude bilješke i smjernice za postojeće brodove, ali uvijek postoji zabrinutost da se stavke koje nisu obvezne ne stavljaju u prioritet.

Zašto ne štite svoju postojeću imovinu u istoj mjeri ili u većoj? Vrijednost imovine bit će slična, rizik od tereta isti ili veći, a utjecaj na bilancu i kontinuitet poslovanja od uspješnog napada bio bi isti ili veći.

Kao što kaže stara izreka andorskog pastira koza: "Čovjek s dvije kuće ne ostavlja jednu nezaključanu da bi zaštitio drugu."

Primjenom minimalnih IACS standarda samo na nova broda, a ne i na postojeće, vlasnici preuzimaju dodatni rizik umjesto da smanje svoj cjelokupni rizik.

Sposobnost Houthijskih pobunjenika da ciljaju brodove za koje vjeruju da su izravno povezani s njihovim neprijateljima ilustrira jednostavnost pristupa podacima o vlasništvu i raspoređivanju flote. Sve je manje mjesta za skrivanje.

Očekuje se da će rasti pritisak za usvajanje sličnih mjera i za postojeće brodove, pri čemu su zakupci i osiguravatelji u najboljoj poziciji da vrše pritisak na vlasnike plovila kako bi osigurali dosljednu usklađenost u cijeloj floti.

U stvarnosti će morati ići korak dalje. Odredbe s IACS UR-ovima nisu bez kritičara koji se boje da usklađenost pokreće formalno ispunjavanje zahtjeva, a ne pozitivno djelovanje. To zanemaruje činjenicu da je postizanje konsenzusa unutar IACS-a, kao i u mnogim sličnim organizacijama, stvar kompromisa.

Rastući pritisak za kibernetičku sigurnost omogućuje brodarima da zadovolje osnovne standarde i oslobađa ih da idu korak dalje, usvajajući rigoroznije pristupe u pogledu tehnologije, obuke, procedura i svijesti.

Dokazi iz provjerenih industrijskih standarda pokazuju da se svijest o kibernetičkim rizicima može ugrađivati u opskrbni lanac i učiniti ga uvjetom poslovanja.

Vlasnici će se morati suočiti s neugodnom istinom da će, kako bi zadržali svoj status uglednih operatera u koje se može ulagati, morati provesti dubinski kibernetički audit na svojim flotama, koristeći UR E26 kao polazišnu, a ne završnu točku.