Según Angeliki Zisimatou, Directora de Ciberseguridad de ABS, cada vez se habla más sobre ciberseguridad en el transporte marítimo y los armadores deben tomar decisiones informadas. Los incidentes cibernéticos en el sector marítimo están aumentando en número y sofisticación, con nuevas formas de conectividad y nuevas tecnologías digitales que crean un riesgo adicional para una industria que durante mucho tiempo se sintió aislada de los ataques cibernéticos directos y dirigidos.
Para hacer frente a estos riesgos, la industria ha visto la aplicación de diversas regulaciones impulsadas por iniciativas dirigidas por la industria, pero aún no se ha desarrollado una norma global unificada. Los armadores deben abordar las normativas recientes sin perder de vista en el horizonte el desarrollo de un marco normativo más sustancial.
Los nuevos requisitos unificados de la IACS sobre buques y sistemas, las nuevas normas de la Guardia Costera de Estados Unidos (USCG) sobre buques con pabellón estadounidense y las directrices de la EMSA y la BIMCO ya están en vigor o lo estarán próximamente.
Desde la introducción de disposiciones en el Código IGS, la Organización Marítima Internacional no ha perdido de vista la ciberseguridad y volverá a centrarse en este tema como punto de debate en un futuro próximo.
Esto presenta un problema polifacético para el transporte marítimo, una situación agravada por enfoques distintos del problema que se dividen en líneas ya conocidas.
Muchos operadores se toman el problema en serio, pero la respuesta depende a menudo de su tamaño y capacidad, y de si tienen experiencia previa en un incidente cibernético.
Algunos están invirtiendo mucho, estableciendo sus propios Centros de Operaciones de Seguridad y equipos cibernéticos, así como abordando las vulnerabilidades de la cadena de suministro. Los operadores más pequeños están menos avanzados en el proceso de evaluación y preparación.
El mismo patrón se aplica en general entre los vendedores, con grandes fabricantes de equipos originales que trabajan según las normas IEC y proveedores de tecnología más pequeños que a veces luchan por cumplir los requisitos IACS.
La misma tendencia puede observarse entre los astilleros, con algunos plenamente comprometidos y otros que creen que su papel como integrador consiste principalmente en recabar información de los vendedores.
De hecho, los requisitos de los UR de la IACS son bastante específicos en cuanto a cómo debe ser la seguridad de los buques y sistemas, y puede haber lagunas en los datos recopilados.
Comprender el riesgo
Uno de los retos para los operadores es que la ciberseguridad efectiva requiere generalmente un enfoque basado en el riesgo, mientras que la mayoría de las normativas marítimas intentan ser de naturaleza prescriptiva para guiar mejor a los operadores y ayudarles en los esfuerzos de implementación.
La falta de formatos de datos comunes y la suposición de que la aplicación de niveles mínimos de control de la seguridad es suficientemente buena pueden conducir al cumplimiento, pero no necesariamente a la seguridad.
Algunos operadores de buques siguen creyendo que estar “aislados” de Internet o utilizar solo una conectividad mínima reduce su riesgo a un nivel aceptablemente bajo.
Esta suposición descarta la realidad de que el 83 % de las organizaciones informó de al menos un ataque atribuido a personas internas, normalmente empleados, ya sea de modo intencionado o no.
Todos los operadores, independientemente de su tamaño, deben partir de la misma línea de base, pero no hay restricciones para ir más allá. Todos deberían, como mínimo, haber completado un plan de gestión de riesgos para conocer sus activos, las vulnerabilidades asociadas y las medidas de mitigación.
Un factor importante en la elaboración de ese plan es comprender el factor humano y los riesgos derivados de la falta de formación y concienciación. La formación de la tripulación, en particular, es fundamental, ya que muchos miembros de la tripulación no han recibido formación sobre ciberseguridad y no son conscientes de los riesgos.
Al mismo tiempo, el ruido en torno a este tema y la multitud de productos que compiten entre sí confunden a los compradores, a quienes les resulta difícil determinar qué marcará la diferencia y qué no.
Si las sociedades de clasificación ofrecen más información y recursos, los compradores podrán comprender mejor los riesgos cibernéticos y el mercado y podrán tomar decisiones con mayor conocimiento de causa.
Próximos pasos
El paso más importante es no confiar únicamente en los controles que ofrece la normativa para sentirse ciberseguro. Utilizándolos como punto de partida, los operadores de buques deben reconocer la necesidad de medidas adicionales, que inevitablemente requerirán mayores inversiones y recursos. Este compromiso de mejorar la ciberseguridad debe ser un esfuerzo continuo.
El sector también se beneficiaría de un sistema anónimo de notificación para poder compartir experiencias y riesgos, similar a la base de datos de seguridad de buques desarrollada hace algunos años por ABS y la Universidad de Lamar. La USCG ya exige cierto grado de intercambio de información sobre incidentes cibernéticos, por lo que la tendencia se acelerará.
La industria también debe considerar cuidadosamente la ciberseguridad de las nuevas tecnologías en el transporte marítimo y el riesgo siempre presente derivado de la larga cadena de suministro que conecta a los proveedores de equipos y sistemas de terceros con los operadores.
El potencial del aprendizaje automático, la IoT, las tecnologías blockchain y los gemelos digitales es evidente, pero algunas de estas aplicaciones plantean riesgos tecnológicos que no se han probado lo suficiente como para proporcionar datos históricos de vulnerabilidad.
La perspectiva de la IA en el transporte marítimo es emocionante para algunos, pero ¿comprenden los usuarios cómo puede explotarse con fines malignos?
En un momento de tanta información disponible para los armadores, el papel de la clase como fuente de asesoramiento imparcial nunca ha sido más importante. ABS, la primera en publicar directrices en 2016, ha actualizado sus anotaciones cibernéticas para buques nuevos y existentes e introducido nuevas anotaciones flexibles para permitir el cumplimiento de múltiples normas en función de las necesidades del operador del buque.
Algunos expertos en seguridad digital sugieren que los incidentes cibernéticos de un tipo u otro son prácticamente inevitables, y es mejor considerarlos como tales.
El riesgo es real, pero la clase tiene una responsabilidad colectiva a la hora de ayudar a defender la industria naval y es una responsabilidad que nos tomamos en serio.
