του Καπτ. Γ. Γεωργούλη
Στο σύνολο του εύρους της δραστηριότητάς της, η παγκόσμια ναυτιλιακή βιομηχανία συνδέεται όλο και περισσότερο με τα συστήματα του κυβερνοχώρου και εξαρτάται πλέον από αυτά. Η αδυναμία προετοιμασίας, σχεδιασμού και αντιμετώπισης των κακόβουλων επιθέσεων στον κυβερνοχώρο μπορεί να έχει πολύ δυσάρεστες συνέπειες για τις εταιρείες που θα υποστούν αυτού του είδους τις επιθέσεις.
Οι ναυτιλιακές επιχειρήσεις και η διεκπεραίωση των δραστηριοτήτων της ναυτιλιακής βιομηχανίας βασίζονται σε συστήματα του κυβερνοχώρου. Τα συστήματα εντοπισμού θέσης (GPS), τα ηλεκτρονικά πιστοποιητικά, η παρακολούθηση φορτίου, η ηλεκτρονική πλοήγηση (ECDIS), τα συστήματα αυτόματης αναγνώρισης (AIS), η επικοινωνία και η τήρηση αρχείων είναι μέρος των δραστηριοτήτων που εξαρτώνται από αξιόπιστα και ασφαλή συστήματα πληροφορικής. Αυτή η εξάρτηση από τους υπολογιστές και τα δίκτυα υπολογιστών, ιδίως εκείνων που συνδέονται με το διαδίκτυο, δημιουργεί ευκαιρίες επιθέσεων στον κυβερνοχώρο ως αποτέλεσμα των κακών πρακτικών ασφάλειας.
Υπάρχουν πολλά παραδείγματα περιστατικών ασφάλειας στον κυβερνοχώρο που σχετίζονται με τη ναυτιλιακή βιομηχανία:
– Ερευνητές από το Πανεπιστήμιο του Τέξας στις ΗΠΑ απέδειξαν, τον Ιούλιο του 2013, ότι είναι δυνατόν να αλλάξουν την πορεία του πλοίου παρεμβαίνοντας στο σήμα του GPS, ώστε τα ηλεκτρονικά συστήματα πλοήγησης να ερμηνεύουν λανθασμένα τη θέση και την πορεία του πλοίου.
– Ένας χάκερ παρενέβη με λογισμικό σε μια πλωτή πλατφόρμα πετρελαίου που βρίσκεται στα ανοιχτά των ακτών της Αφρικής και κατάφερε να της αλλάξει προσανατολισμό, αναγκάζοντάς τη να κλείσει προσωρινά.
– Οι χάκερ εισήλθαν παράνομα σε συστήματα φόρτωσης-εκφόρτωσης και στα συστήματα διαχείρισης εμπορευματοκιβωτίων σε ένα λιμάνι, για να εντοπίσουν συγκεκριμένα εμπορευματοκιβώτια φορτωμένα με παράνομα ναρκωτικά και να τα απομακρύνουν από τον έλεγχο.
– Σομαλοί πειρατές είχαν προσλάβει χάκερ για να έχουν πρόσβαση σε ηλεκτρονικά συστήματα ναυτιλιακής εταιρείας, προκειμένου να εντοπίζουν πλοία που διέρχονται από τον κόλπο του Άντεν με πολύτιμα φορτία και ελάχιστη ασφάλεια επί του πλοίου, με αποτέλεσμα την επιτυχημένη κατάληψη πλοίου.
– Στον νορβηγικό τομέα της ενέργειας, του πετρελαίου και του φυσικού αερίου ανιχνεύτηκαν περισσότερες από πενήντα επιθέσεις στον κυβερνοχώρο το 2015.
– Πριν από δέκα χρόνια, η εταιρεία προστασίας από ιούς McAfee κατέγραψε είκοσι πέντε νέες απειλές την ημέρα, ενώ σήμερα οι απειλές ξεπερνούν το μισό εκατομμύριο καθημερινά.
Οι συνέπειες των επιθέσεων στον κυβερνοχώρο σήμερα μπορούν να είναι ανυπολόγιστες. Για παράδειγμα, σύγκρουση ή προσάραξη πλοίου μπορεί να προκύψει από παρέμβαση στα μέσα ναυσιπλοΐας ή/και άλλων συστημάτων, που θα μπορούσαν να οδηγήσουν σε:
– Απώλεια ή επικίνδυνες καταστάσεις για τα πλοία (σύγκρουση, προσάραξη).
– Σωματική βλάβη του πληρώματος (σε περίπτωση πειρατείας).
– Απώλεια φορτίου.
– Ρύπανση.
– Απώλεια των λειτουργιών των πλοίων (π.χ. επικοινωνία με το γραφείο, ναυλωτές), όπως και απώλεια των δραστηριοτήτων του λιμένα, ειδικότερα στη μεταφορά εμπορευματοκιβωτίων.
Ως εκ τούτου, οι απειλές λόγω της έκθεσης των πλοίων στο διαδίκτυο και στα συστήματα πληροφορικής πρέπει πλέον να αντιμετωπίζονται με τον κατάλληλο σχεδιασμό και την εφαρμογή αξιόπιστων συστημάτων ασφαλείας.
Ο IMO καθιστά υποχρεωτική τη διαχείριση του κυβερνοεπιχειρησιακού κινδύνου επί των πλοίων από την 1η Ιανουαρίου 2021. Η Επιτροπή Ναυτικής Ασφάλειας (MSC) ενέκρινε τον Ιούνιο του 2017 το ψήφισμα MSC.428 (98) για τη διαχείριση του θαλάσσιου κυβερνοχώρου και τα συστήματα ασφαλείας. Το ψήφισμα αναφέρει ότι ένα εγκεκριμένο σύστημα ασφαλείας πρέπει να λαμβάνει υπόψη τη διαχείριση του κινδύνου του κυβερνοχώρου, σύμφωνα με τους στόχους και τις απαιτήσεις του Κώδικα ISM. Οι οδηγίες καθορίζουν τις ακόλουθες ενέργειες που μπορούν να ληφθούν για τη στήριξη της αποτελεσματικής διαχείρισης του κυβερνοχώρου:
– Εντοπισμός των συστημάτων, των δεδομένων που, εάν δεχτούν επίθεση, δημιουργούν κινδύνους για τις λειτουργίες του πλοίου.
– Σχεδιασμός έκτακτης ανάγκης για την προστασία από ένα περιστατικό επίθεσης στον κυβερνοχώρο για τη διασφάλιση της ομαλής λειτουργίας των ναυτιλιακών επιχειρήσεων.
– Ανάπτυξη και εφαρμογή διαδικασιών και αμυντικών μέσων που είναι απαραίτητα για την έγκαιρη ανίχνευση μιας επίθεσης στον κυβερνοχώρο.
– Ανάπτυξη και εφαρμογή σχεδίων για την παροχή ανθεκτικότητας και αποκατάστασης των συστημάτων που είναι απαραίτητα για ναυτιλιακές επιχειρήσεις.
– Δημιουργία αντιγράφων ασφαλείας για την επαναφορά των συστημάτων που είναι απαραίτητα για τις ναυτιλιακές επιχειρήσεις και έχουν επηρεαστεί από επίθεση στον κυβερνοχώρο.
Το ψήφισμα MSC.428 (98) του ΙΜΟ ενθαρρύνει τα κράτη-μέλη του ΙΜΟ να διασφαλίσουν ότι οι κίνδυνοι στον κυβερνοχώρο αντιμετωπίζονται με συστήματα διαχείρισης της ασφάλειας το αργότερο κατά την πρώτη ετήσια επιθεώρηση του εγγράφου συμμόρφωσης (Document of Compliance – DOC) της εταιρείας μετά την 1η Ιανουαρίου 2021.
Πολλές εταιρείες έχουν πέσει θύματα εγκλήματος στον κυβερνοχώρο, όπου οι χάκερ έχουν πρόσβαση στους λογαριασμούς ηλεκτρονικού ταχυδρομείου στους προμηθευτές τους (καύσιμα, ανταλλακτικά) και έχουν στείλει μηνύματα ηλεκτρονικού ταχυδρομείου, ζητώντας αμοιβές και πληρωμές να αποστέλλονται σε διαφορετικούς τραπεζικούς λογαριασμούς απ’ ό,τι συνήθως. Αυτός ο τύπος απάτης ηλεκτρονικού «ψαρέματος» έχει ξεκινήσει από το 2013.
Η προβολή της ασφάλειας του κυβερνοχώρου ως ενός απλού προβλήματος της πληροφορικής (IT) είναι σαν κάποιος να αποδίδει την ασφάλεια της λειτουργίας ενός πλοίου μόνο στη μηχανή του. Η αντιμετώπιση της ασφάλειας στον κυβερνοχώρο θα πρέπει να ξεκινά από το ανώτερο επίπεδο διοίκησης της εταιρείας και όχι να μεταβιβάζεται στον υπεύθυνο ασφάλειας πλοίων ή στον επικεφαλής του τμήματος πληροφορικής.
Οποιαδήποτε εταιρεία μπορεί να είναι ευάλωτη σε επιθέσεις στον κυβερνοχώρο. Και το πρόβλημα απαιτεί ολιστική προσέγγιση στη λύση του, που πρέπει να περιλαμβάνει:
– Αύξηση της ευαισθητοποίησης για τις επιθέσεις, παροχή κατάρτισης και επικοινωνία των κινδύνων σε όλα τα επίπεδα της εταιρείας.
– Διαδικασίες και πολιτικές για τον εντοπισμό και την αξιολόγηση του κινδύνου.
– Εναρμόνιση των κινδύνων στον κυβερνοχώρο με τις υφιστάμενες απαιτήσεις διαχείρισης κινδύνων ασφάλειας και ασφάλειας που περιέχονται στους κώδικες ISPS και ISM, όπως περιλαμβάνονται στις πολιτικές της εταιρείας.
– Να συμπεριληφθούν απαιτήσεις σχετικές με την εκπαίδευση, τη λειτουργία και τη συντήρηση των κρίσιμων συστημάτων κυβερνοχώρου.
– Συστήματα πληροφορικής – τείχη προστασίας, antivirus και κρυπτογράφηση.
– Βεβαιωθείτε ότι υπάρχει επαρκής προστασία σε όλα τα επίπεδα της εταιρείας –από την ανώτερη διοίκηση στην ξηρά μέχρι το πλήρωμα του πλοίου– έτσι ώστε να εισαχθεί ως μέρος της κουλτούρας ασφάλειας στην ξηρά και επί του πλοίου.
Απόσπασμα από τo άρθρο, με τίτλο «Κυβερνοεπιθέσεις στη ναυτιλία: η σύγχρονη απειλή μπορεί να περιοριστεί», Ναυτικά Χρονικά, Αύγουστος- Σεπτέμβριος 2018, σ. 12
