Kibernetička sigurnost i pet ključnih elemenata u usklađenosti s propisima UR E26

Kibernetički rizik sve je veća briga u brodskoj industriji, od operatera plovila i zakupaca do luka i šireg opskrbnog lanca. Iako se broj tehnoloških rješenja množi, sve veći teret regulative postavlja nova pitanja o procesu usklađenosti.

Ta će se pravila sve više protezati izvan same implementacije softvera, prema redovitom, detaljnom procesu inspekcije koji zahtijeva suradnju između brodogradilišta, vlasnika brodova, klasifikacijskih društava, proizvođača opreme (OEM), te IT i mrežnih operatera. Možda jednako važno za brodare jest i potencijalni trošak postizanja i održavanja usklađenosti – troškovi koji će biti ponavljajući, a ne jednokratni.

Regulatorna tijela, uključujući IMO i Europsku uniju, Američku obalnu stražu i druge države zastave, prethodno su uvela smjernice ili planiraju ažurirati propise kao odgovor na rastuće kibernetičke prijetnje. Industrijske norme koje su objavili BIMCO, SIRE i TMSA sada se dopunjuju propisima koje je razvila Međunarodna udruga društava za klasifikaciju (IACS).

Jedinstveni zahtjev IACS-a E26 ima za cilj pružiti minimalan skup zahtjeva za kibernetičku otpornost brodova, namijenjen projektiranju, izgradnji, puštanju u rad i operativnom vijeku trajanja plovila.

Njegov povezani zahtjev, UR E27, pruža minimalne sigurnosne mogućnosti za sustave i opremu kako bi se smatrali otpornima na kibernetičke napade, a namijenjen je dobavljačima opreme trećih strana.

Unatoč tome što je UR E26 obvezan samo za nova broda, Marlink smatra da će brodari sve više nastojati primijeniti njegove principe i standarde na postojeće brodove, čime će ublažiti rizik za vrlo vrijednu imovinu i teret.

Razgovori s brodarskim društvima ukazuju na to da će postupno primjenjivati propis na svoje flote, koristeći UR26 kao osnovu za kibernetičku sigurnost na plutajućoj imovini.

IACS UR-ove primijenit će sva članska društva za klasifikaciju koja će djelovati kao revizori, uz samo manje razlike u načinu na koji svako od njih primjenjuje svoju metodologiju i definicije unutar dokumentacije. Kao polazišnu točku za usklađivanje s nadolazećim propisima IACS UR26, Marlink je sastavio pet ključnih aspekata koje bi vlasnici već trebali razmotriti o načinu na koji će postupiti.

• Dokumentacija

UR 26 zahtijeva znatno višu razinu dokumentacije nego prije, uključujući detaljan plan postavljanja mreže na brodu, konfiguracije i protoka podataka. Inspektori će očekivati dokumentaciju o mjerama zaštite mreže, uključujući plan testiranja za provjeru implementiranih kontrola.  

• Popis opreme na brodu

Vlasnici će morati sastaviti i održavati inventar opreme na brodu te ga dostaviti na zahtjev. Inventar uključuje odgovarajući hardver i softver računalnih sustava (CBS) te mreže koje povezuju takve sustave međusobno i s drugim računalnim sustavima na brodu ili na kopnu.

• Postupci

Propis zahtijeva stvaranje novih postupaka za obranu od kibernetičkih napada i povećanje ublažavanja rizika. Na primjer, vlasnici moraju razumjeti kako stvoriti postupke i definirati uloge i odgovornosti za teme kao što su daljinski nadzor, kontrola i održavanje opreme brodova. Razvijanje ovih postupaka je proces koji se mora odvijati u uskoj vezi s programima obuke i podizanjem svijesti.

• Obuka i podizanje svijesti

Vlasnici brodova vrlo će vjerojatno zahtijevati obuku o kibernetičkoj sigurnosti za posadu i nadovezati se na to redovitom podizanju svijesti za sve osobe, uključujući posadu, ugovaratelje i treće strane zadužene za održavanje. Teme obuke uključuju kako identificirati rizike, postupke za oporavak neuspjelog sustava, kako dobiti vanjsku pomoć i podršku s kopna te kako testirati i nadzirati mreže na brodu.

• Od reaktivnog do proaktivnog

Uobičajena kibernetička rješenja mogu pružiti reaktivnu zaštitu od napada, ali vam govore vrlo malo ili ništa o ranjivosti na višoj razini. U budućnosti će kibernetička sigurnost zahtijevati ne samo zaštitu imovine i mreže, već i procjenu ranjivosti, penetracijsko testiranje i druge proaktivne alate koji mogu pružiti uvid u vjerojatne i moguće prijetnje – i kako se one mijenjaju tijekom vremena.

Zaključak

UR26 predstavlja značajnu promjenu za pomorsku industriju, ne samo kao prvi zahtjev koji se jednako primjenjuje na sva nova plovila. Dodatni administrativni teret koji stvara bit će znatan, ali unatoč tome, vjerojatno je da će se slični standardi uskoro proširiti i na postojeću flotu.

Međutim, UR26 predstavlja samo dogovorenu osnovu za performanse. Buduće će propisi vjerojatno biti mnogo zahtjevniji i Marlink smatra da brodari moraju poduzeti dodatne mjere kako bi se zaštitili od kibernetičkih prijetnji. Zahtjevi zakupaca, osiguravatelja, klasifikacijskih društava i drugih dionika vjerojatno će s vremenom rasti.

Troškovi će se ogledati u administraciji vođenja evidencije potrebne za usklađenost, mjesečnim troškovima usluge i potencijalno stotinama sati savjetodavnog rada za izradu procedura i postavki. Vjerojatno će se proračuni koje brodari izdvajaju za IT morati povećati kako bi se iskoristile mogućnosti koje nudi digitalna tehnologija i ojačala kibernetička obrana.

Kako bi se postigao poboljšani stupanj usklađenosti, industriji je potrebna nova, sveobuhvatnija perspektiva o koracima potrebnim za sigurnost na moru koja nadilazi osnovnu obranu.

Naše iskustvo s najvećim pojedinačnim udjelom u pomorskoj trgovačkoj floti govori nam da usklađenost s UR E26 i drugim propisima sama po sebi nije dovoljna. Vlasnici moraju razmotriti koja su daljnja poboljšanja potrebna kako bi osigurali da njihove flote mogu nastaviti s radom na siguran način.

Ovaj je članak objavljen 18.03.2025. na Splash 247.