il 50, 000 navi che solcano il mare in qualsiasi momento si sono unite a un elenco in continua espansione di oggetti che possono essere hackerati. Gli esperti di sicurezza informatica di recente hanno mostrato quanto sia stato facile irrompere nell'attrezzatura di navigazione di una nave. Questo accade solo pochi anni dopo che i ricercatori hanno dimostrato di poter ingannare il GPS di un super-yacht facendogli cambiare rotta. C'erano una volta oggetti come automobili, tostapane e rimorchiatori facevano solo ciò per cui erano stati originariamente progettati. Oggi il problema è che tutti parlano anche a internet.

La storia così lontana

Le storie sulla sicurezza informatica marittima non faranno che proliferare. L'industria marittima ha tardato a rendersi conto che le navi, proprio come tutto il resto, fanno ora parte del cyberspazio. L'Organizzazione marittima internazionale (IMO), l'organismo delle Nazioni Unite incaricato di regolamentare lo spazio marittimo, è stato in ritardo e un po' lento nel prendere in considerazione una regolamentazione appropriata in materia di sicurezza informatica.

Nel 2014, l'IMO ha consultato i propri membri su come dovrebbero essere gli orientamenti sulla cibersicurezza marittima. Due anni dopo hanno pubblicato le linee guida provvisorie per la gestione del rischio di sicurezza informatica, che sono ampi e non particolarmente specifici per il mare. E adesso, non sorprende, le navi vengono hackerate.

Complessità del settore marittimo

Ci sono diverse questioni fondamentali che rendono la sicurezza informatica per l'industria marittima particolarmente difficile da affrontare.

Primo, ci sono molte diverse classi di navi, che operano in ambienti molto diversi. Queste navi tendono ad avere diversi sistemi informatici integrati. In modo significativo, molti di questi sistemi sono costruiti per durare oltre 30 anni. In altre parole, molte navi utilizzano sistemi operativi obsoleti e non supportati, che sono spesso le più soggette ad attacchi informatici.

Secondo, gli utenti di questi sistemi informatici marittimi sono costantemente in movimento. Gli equipaggi delle navi sono altamente dinamici, spesso cambiando con breve preavviso. Di conseguenza, i membri dell'equipaggio utilizzano spesso sistemi con cui non hanno familiarità, aumentare il potenziale di incidenti di sicurezza informatica relativi all'errore umano. Ulteriore, la manutenzione degli impianti di bordo, compresi quelli di navigazione, è spesso appaltato a una varietà di terze parti. È perfettamente possibile che l'equipaggio di una nave abbia poca comprensione di come i sistemi di bordo interagiscono tra loro.

Una terza complessità è il collegamento tra i sistemi di bordo e quelli terrestri. Molte compagnie marittime rimangono in costante comunicazione con le loro navi. Anche la sicurezza informatica della nave dipende, poi, sulla sicurezza informatica dell'infrastruttura terrestre che lo rende possibile. Le implicazioni di tali dipendenze sono state rese chiare nel 2017 quando un attacco informatico ai sistemi di A.P. Moller-Maersk ha provocato ritardi nelle merci in tutta la loro flotta. Ciò è particolarmente impegnativo per l'IMO che può governare simili regolamenti portuali, ma hanno pochissimo controllo sui più ampi sistemi e processi degli operatori marittimi.

Passi nella giusta direzione

Nel 2017, l'IMO ha modificato due dei suoi codici generali di gestione della sicurezza per includere esplicitamente la sicurezza informatica. L'International Ship and Port Facility Security Code (ISPS) e l'International Security Management Code (ISM) descrivono in dettaglio come gli operatori portuali e navali dovrebbero condurre i processi di gestione del rischio. Rendere la sicurezza informatica parte integrante di questi processi dovrebbe garantire che gli operatori siano almeno consapevoli dei rischi informatici.

Auspicabilmente, questo è l'inizio di un approccio più olistico alla regolamentazione della sicurezza informatica marittima. Le conoscenze acquisite da queste nuove valutazioni del rischio informatico possono consentire all'IMO di sviluppare una serie più ampia di normative sulla sicurezza informatica. C'è molta frutta bassa da raccogliere, ad esempio armonizzando alcuni requisiti delle apparecchiature con gli standard di sicurezza informatica esistenti adottati da altri settori.

Girando la nave

L'industria marittima è indubbiamente indietro rispetto ad altri settori dei trasporti, come quello aerospaziale, in termini di sicurezza informatica. Sembra inoltre che manchi l'urgenza di mettere in ordine la casa. Dopotutto, gli emendamenti cyber-specifici all'ISM e all'ISPS non entreranno in vigore fino al 1° gennaio 2021, e rappresentano solo l'inizio di un viaggio. Quindi l'industria marittima sembra particolarmente mal attrezzata per affrontare le sfide future, come la sicurezza informatica delle navi completamente autonome.

Sul lato positivo, l'approccio lento e costante allo sviluppo delle normative sulla sicurezza informatica offre almeno l'opportunità di imparare da altri settori e comprendere appieno i rischi della sicurezza informatica marittima, piuttosto che prendere decisioni affrettate e mal informate.

Lo sviluppo di solide normative sulla sicurezza informatica marittima sarà molto lento, e forse doloroso, processi. Ma, la nave ha iniziato a girare.

Questo articolo è stato originariamente pubblicato su The Conversation. Leggi l'articolo originale.