Cyber Risk στη ναυτιλία: Πραγματικός κίνδυνος ή ένας ακόμα μύθος;


Από τότε που η ναυτιλία πέρασε στην ψηφιακή εποχή, έχει πληγεί από πολλά cyber attacks. Αυτές οι επιθέσεις αποτελούν πραγματικό γεγονός, με τα νούμερα να αυξάνονται όλο και περισσότερο. Βέβαια, η καταγραφή του πραγματικού αριθμού των cyber attacks είναι πολύ δύσκολη, είτε λόγω της συγκάλυψης τέτοιων επιθέσεων από τις παθούσες εταιρείες για λόγους προστασίας της φήμης τους είτε λόγω άγνοιας ότι πραγματικά έχουν δεχτεί τέτοιου είδους επίθεση.

Οι περισσότεροι άνθρωποι, μπροστά στον όρο cyber risk, αυθόρμητα οδηγούνται στους ακόλουθους συνειρμούς σκέψεων: ότι πρόκειται για κάτι τεχνολογικά πολύπλοκο, ότι είναι αντικείμενο σεναριογράφων ταινιών επιστημονικής φαντασίας ή ότι απλώς αποτελεί πρόβλημα άλλων. Όλες οι παραπάνω εκδοχές οδηγούν στο ίδιο κοινό συμπέρασμα: ότι δηλαδή ναι, πρόκειται για κάτι πολύ σύνθετο τεχνολογικά, που αγγίζει κατ’ αποκλειστικότητα τον χώρο της πληροφορικής ή το τμήμα πληροφοριακών συστημάτων (ΙΤ) της εταιρείας.

Αξίζει να παραθέσουμε μερικά από τα πιο χαρακτηριστικά παραδείγματα cyber attacks που έλαβαν χώρο στον κόσμο της ναυτιλίας.

Επίθεση κακόβουλου λογισμικού (malware)

Το πιο χαρακτηριστικό παράδειγμα αποτελεί η επίθεση που δέχτηκε η A.P. Moller-Maersk τον Ιούνιο του 2017. Η επίθεση προκλήθηκε από την εισβολή κακόβουλου λογισμικού (malware) στα πληροφοριακά συστήματα της εταιρείας, προκαλώντας σημαντικές λειτουργικές δυσκολίες σε πολλά πλοία, καθώς και την παύση λειτουργίας 76 τερματικών σταθμών, επηρεάζοντας τη διακίνηση χιλιάδων containers. Αν και η αποκατάσταση της λειτουργίας και η εξάλειψη του κινδύνου ήταν ταχύτατες για τα δεδομένα, σύμφωνα με την εταιρεία οι συνέπειες της επίθεσης προκάλεσαν ζημιές ύψους 300 εκατ. ευρώ. Όλα προήλθαν από την απλή απάντηση ενός κακόβουλου email από υπάλληλο της εταιρείας στην Ουκρανία.

Ατελείωτη χειραγώγηση πληροφοριών

Στα τέλη του 2018, οι Αρχές του Βελγίου αποκάλυψαν πως ο σταθμός εμπορευματοκιβωτίων της Αμβέρσας είχε δεχτεί cyber attack από λαθρεμπόρους. Ο σταθμός βρισκόταν κάτω από επίθεση από τις αρχές του 2011, δηλαδή για περισσότερα από δύο χρόνια. Οι εισβολείς απέκτησαν πρόσβαση στα λειτουργικά σύστημα του σταθμού, δίνοντας εντολές για την απελευθέρωση containers σε δικά τους φορτηγά και αποφεύγοντας τους τυπικούς ελέγχους των τελωνείων. Μόλις η εντολή εκτελούνταν, τα στοιχεία διαγράφονταν από τους εισβολείς χωρίς να αφήσουν ίχνη. Αυτό είχε ως αποτέλεσμα τη διακίνηση λαθραίων φορτίων. Η αστυνομία, σε σχετικό έλεγχο που διεξήγαγε μετά την αναγνώριση της επίθεσης, βρήκε σε ένα container μεγάλη ποσότητα ναρκωτικών, όπλα και μεγάλα ποσά μετρητών. Παραμένει άγνωστο πόσα containers κατάφεραν οι εισβολείς να διακινήσουν λαθραία.

Έλεγχος πλοήγησης από χάκερ

To Πανεπιστήμιο του Τέξας οργάνωσε ένα cyber attack σε mega-yacht αξίας $80 εκατ., με εγκατεστημένα σύγχρονα ψηφιακά συστήματα και άρτια εκπαιδευμένο πλήρωμα. Η επίθεση είχε, φυσικά, χαρακτήρα άσκησης σε συνεννόηση με την πλοιοκτήτρια εταιρεία, χωρίς να ενημερωθεί το πλήρωμα, πλην του πλοιάρχου. Με εξοπλισμό μόλις $3.000, οι «εισβολείς» κατάφεραν να παρέμβουν στις κεραίες GPS, στέλνοντας δικά τους στίγματα, και με αυτόν τον τρόπο απέκτησαν τον πλήρη έλεγχο της πλοήγησης. Το αποτέλεσμα ήταν να καταφέρουν να αλλάξουν την πορεία του yacht χωρίς να το αντιληφθεί το πλήρωμα, καθώς τα συστήματα πλοήγησης δεν έδειχναν καμία παρέκκλιση από τη σχεδιασμένη πορεία.

Ο πλοίαρχος, μετά τη λήξη της άσκησης, δήλωσε μεταξύ άλλων: «Οι εισβολείς είχαν προβεί σε μια σειρά παραβάσεων στα συστήματα πλοήγησης. Κανένας από το πλήρωμα που βρισκόταν σε υπηρεσία γέφυρας δεν μπόρεσε να το αντιληφθεί».

 

Τα παραπάνω παραδείγματα αποδεικνύουν το εύρος και την ποικιλομορφία των επιθέσεων, ενώ η άγνοια και η δυσκολία αναγνώρισης των κινδύνων που εγκυμονεί η χρήση της τεχνολογίας καθιστούν τη ναυτιλιακή βιομηχανία ιδιαίτερα ευάλωτη σε τέτοιου είδους επιθέσεις. Όπως στα περισσότερα προαναφερθέντα παραδείγματα, είναι πολλές οι περιπτώσεις όπου η εταιρεία ή το πλοίο είχε δεχτεί cyber attack χωρίς να το αντιληφθεί κανείς για μεγάλο χρονικό διάστημα, ενώ είναι εξίσου δύσκολο να προσδιοριστεί με ακρίβεια πότε το cyber attack έλαβε τέλος. Τα cyber attacks διαφέρουν θεμελιωδώς από όλους τους άλλους έως τώρα γνωστούς κινδύνους. Μια φωτιά, για παράδειγμα, είναι σχετικά εύκολο να προσδιοριστεί πότε ξεκίνησε και πότε έλαβε τέλος, ενώ ο αντίστοιχος προσδιορισμός για ένα cyber attack είναι σύνθετος.

 

Το 2017, ο ΙΜΟ εισήγαγε ένα ψήφισμα, καθιερώνοντας το Maritime Cyber Risk Management στο Safety Management System (SMS) της εταιρείας. Το ψήφισμα προβλέπει πως ένα εγκεκριμένο SMS θα πρέπει να έχει προβλέψεις για Cyber Risk Management, σύμφωνα με τους στόχους και τις απαιτήσεις του κώδικα ISM. Η BIMCO έχει επίσης εκδώσει ένα εγχειρίδιο με κατευθυντήριες γραμμές αναφορικά με τα μέτρα προστασίας κατά των cyber attacks στα πλοία.

Όπως και με όλους τους τομείς ασφάλειας, η απλή συμμόρφωση με το νομοθετικό πλαίσιο δεν επαρκεί για να αποφευχθεί ο κίνδυνος. Η ένταξη του Cyber Risks Management στο «Safety Culture» μιας εταιρείας είναι επιτακτική. Η εισαγωγή της ναυτιλιακής βιομηχανίας στην ψηφιακή εποχή προχωρά με ταχύτατους ρυθμούς. Είναι ευχή όλων να ληφθούν άμεσα τα κατάλληλα μέτρα προστασίας εντός και πέραν των κανονισμών ασφαλείας από τους κινδύνους που συνεπάγεται η νέα εποχή, προκειμένου να μην έχουμε καμία επανάληψη «Τιτανικού»/SOLAS.

Απόσπασμα από το άρθρο του Βασίλειου Κακαμούκα με τίτλο «Cyber Risk στη ναυτιλία: Πραγματικός κίνδυνος ή ένας ακόμα μύθος;», Ναυτικά Χρονικά, Οκτώβριος 2019

Πηγή  https://www.isalos.net/2019/11/cyber-risk-sti-naftilia-pragmatikos-kindynos-i-enas-akoma-mythos/



Read more: https://www.cyberinsurancegreece.com/news/cyber-risk-sti-naytilia-pragmatikos-kindynos-i-enas-akoma-mythos/

Ναυτιλία

Hacking Ships: H ναυτιλιακή βιομηχανία βρίσκεται σε κίνδυνο

 

Τα σύγχρονα πλοία θεωρούνται ένας προνομιακός στόχος για τους hackers και τους πειρατές που αυξάνουν τις επιθέσεις τους στην ναυτιλιακή βιομηχανία.

 

Τα σύγχρονα θαλάσσια πλοία συχνά παρακολουθούνται και ελέγχονται από εγκαταστάσεις ξηρός χιλιάδες μίλια μακριά για να εξασφαλιστεί έτσι η αποτελεσματικότητα. Αυτό δημιουργεί μια νέα πλατφόρμα για τους hackers και τους πειρατές για τη διεξαγωγή στοχευμένων κυβερνοεπιθέσεων σε πλοία

 

Μεγαλώνουν στον κυβερνοχώρο οι κίνδυνοι για τη ναυτιλιακή βιομηχανία

 

Πολλαπλές μελέτες σε θέματα ασφάλειας αποδεικνύουν ότι η ναυτιλιακή βιομηχανία αντιμετωπίζει ένα μείζονα κίνδυνο όσον αφορά την ασφάλειά της στον κυβερνοχώρο. Για αιώνες, τα πλοία χρησιμοποιούνται ως ένας τρόπος μεταφοράς εμπορευμάτων σε όλο τον κόσμο. Η ναυτιλιακή βιομηχανία εξαρτάται σε μεγάλο βαθμό σε συστήματα υπολογιστών, σε διαδικασίες, σε ανθρώπινο δυναμικό και στην τεχνολογία. Αυτή η βιομηχανία μεταφέρει τρισεκατομμύρια δολάρια εμπορευμάτων ανά έτος σε κάθε γωνιά του κόσμου. Η Information Technology έχει διαδραματίσει έναν πολύ σημαντικό ρόλο στην ναυτιλιακή βιομηχανία. Σήμερα, τα σύγχρονα πλοία είναι πλήρως μηχανογραφημένα. Τα πάντα είναι συνδεδεμένα με δίκτυα. Τα σύγχρονα πλοία έχουν πολύπλοκες εργασίες φορτοεκφόρτωσης που συνδέονται εξ ολοκλήρου μέσω του κυβερνοχώρου. Οι γερανοί μετακινούνται μέσω GPS συστημάτων.

 

«Η κυβερονασφάλεια (Cybersecurity) είναι ένα θέμα ασφάλειας. Κάθε πλοίο που κατασκευάστηκε έχει λογισμικό που διαχειρίζεται τις μηχανές του, το λογισμικό αυτό ενημερώνεται όταν το σκάφος απομακρύνεται από την παραλία, και ο Καπετάνιος δεν γνωρίζει καν για την ενημέρωση του λογισμικού», δήλωσε ο Υποναύαρχος Paul Thomas, της Αμερικανικής Ακτοφυλακής. Οι χάκερς θα μπορούσαν να επηρεάσουν τον έλεγχο του πλοίου, να θέσουν  εκτός λειτουργίας τα συστήματα πλοήγησής του, να διακόψουν τις επικοινωνίες του ή να κλέψουν  εμπιστευτικά δεδομένα, σύμφωνα με την Allianz Global Corporate & Specialty SE’s 2015 Safety and Shipping Review. «Τα πληρώματα γίνονται όλο και μικρότερα, τα πλοία γίνονται όλο και μεγαλύτερα, και μια αυξανόμενη εξάρτηση από την αυτοματοποίηση όλων των διαδικασιών επιδεινώνει σημαντικά την κατάσταση της ασφάλειας και μεγαλώνει τους κινδύνους από τους χάκερς για την διατάραξη των βασικών συστημάτων» ανέφερε η έκθεση.

 

Η αυξημένη χρήση των συστημάτων πληροφορικής για την πλοήγηση, την επιθεώρηση του φορτίου, την ταχεία εκφόρτωση, την διανομή των αγαθών και την διακίνηση εμπορευμάτων στα λιμάνια τα καθιστά εκτεθειμένα σε απειλές στον κυβερνοχώρο, αν δεν υλοποιούνται οι κατάλληλοι έλεγχοι ασφαλείας.

 

Οι Cyber απειλές στη ναυτιλιακή βιομηχανία χωρίζονται σε πέντε κύριους τύπους. Οι απειλές για:

  • Πλοία και ασφαλή πλοήγηση
  • Δορυφορική επικοινωνία
  • Συστήματα παρακολούθησης φορτίου
  • Θαλάσσια συστήματα ραντάρ
  • Συστήματα αυτόματης αναγνώρισης

 

Πολλές επιθέσεις στον κυβερνοχώρο έχουν πραγματοποιηθεί στο παρελθόν σε  εμπορικά πλοία. Σε ένα τέτοιο περιστατικό ένα εμπορικό πλοίο του στρατού των ΗΠΑ ήταν ο στόχος μιας επίθεσης από, φερόμενους ως δράστες, Κινέζους military hackers . Το 2012, ο Κινέζικος Στρατός έθεσε σε κίνδυνο “πολλαπλά συστήματα” σε ένα εμπορικό πλοίο της Transcom. Οι providers ναυτιλίας ήταν επίσης ο στόχος των λεγόμενων spear-phishing campaigns.

 

Αυτές οι επιθέσεις χρησιμοποιούν παραπλανητικά μηνύματα e-mail που στοχεύουν σε μια συγκεκριμένη εταιρεία για να αποκτήσουν ασφαλή πρόσβαση σε εμπιστευτικά δεδομένα. Ομοίως, η KPMG έχει συνεργαστεί με μια σημαντική ναυτιλιακή εταιρεία που έχει πέσει θύμα μιας εσκεμμένης επίθεσης hacking, πιθανώς από έναν ανταγωνιστή. Οι χάκερς πρόσφατα έθεσαν εκτός λειτουργίας μια πλωτή εξέδρα άντλησης πετρελαίου, ενώ μια άλλη εξέδρα ήταν τόσο γεμάτη με malware που χρειάστηκαν 19 ημέρες για να γίνει έμπιστη και πάλι. Σομαλοί πειρατές επέλεξαν τους στόχους τους βλέποντας τα δεδομένα πλοήγησης online, με αποτέλεσμα να αναγκάσουν τα πλοία είτε να απενεργοποιήσουν τα συστήματα πλοήγησης τους, ή να μεταδίδουν ψεύτικα δεδομένα έτσι ώστε να φαίνεται σαν να βρίσκονται κάπου αλλού. Ηackers διείσδυσαν σε υπολογιστές που είναι συνδεδεμένοι με το βελγικό λιμάνι της Αμβέρσας, στο οποίο βρίσκονταν ειδικά containers, υπέκλεψαν λαθραία φάρμακα και διέγραψαν τα αρχεία.

 

Ο GPS expert, Todd Humphreys, καθηγητής στο Πανεπιστήμιο του Τέξας, απέδειξε πως χρησιμοποιώντας απλά μια φθηνή συσκευή που αποτελείται από μια μικρή κεραία, ένα ηλεκτρονικό GPS “spoofer” των 3.000 δολλαρίων και ένα laptop, είναι σε θέση να λάβει τον πλήρη έλεγχο του εξελιγμένου συστήματος πλοήγησης ενός super-yacht πάνω από 210-foot στη Μεσόγειο Θάλασσα.

 
Η μείωση των απειλών στον κυβερνοχώρο

 

Δυστυχώς, πολλά cyber-events στη ναυτιλιακή βιομηχανία παρέμειναν απαρατήρητα ή οι επιχειρήσεις δεν θέλουν να τα αποκαλύψουν δημόσια, λένε ειδικοί σε θέματα ασφάλειας. Ένας εκπρόσωπος της Maersk Line, της κορυφαίας εταιρείας shipping container στον κόσμο, είπε:

“Ναι, θεωρούμε το cyber risk απειλή, αλλά τα πλοία δεν είναι πιο ευάλωτα σε τέτοιου είδους επιθέσεις από τα onshore συστήματα και τους οργανισμούς. Παίρνουμε στα σοβαρά αυτόν τον κίνδυνο και διασφαλίζουμε ότι είμαστε προστατευμένοι από τέτοιου είδους απειλές”.

Η ναυτιλιακή βιομηχανία πρέπει να ενσωματώσει την κατάλληλη άμυνα στις στρατηγικές της για να μπορέσει να χειριστεί τις απειλές στον κυβερνοχώρο. Η εφαρμογή της κατάλληλης άμυνας περιλαμβάνει διεξοδικούς ελέγχους, όπως:

  • Εγκατάσταση antivirus λογισμικών
  • Πολιτική για την ασφαλή λειτουργία και συντήρηση του συστήματος
  • Ασφαλής σχεδιασμός και ανάπτυξη εφαρμογών και συστημάτων.
  • Ευαισθητοποίηση των υπαλλήλων που εργάζονται στη ναυτιλιακή βιομηχανία
  • Διασφάλιση των λιμένων που χρησιμοποιούν κατά κύριο λόγο αυτοματοποιημένα  συστήματα για τη διακίνηση φορτίων.

Η ναυτιλιακή βιομηχανία θα πρέπει να ακολουθήσει κανόνες και πρότυπα ασφαλείας σε όλα τα επίπεδα της οργάνωσης.

Πηγή: securityaffairs.co/ 

 

"Κυβερνο-ασφάλεια και Ναυτιλία – Ένα σύγχρονο πρόβλημα".

Την Πέμπτη, 3 Δεκεμβρίου 2015, με πρωτοβουλία της Διεύθυνσης Ασφάλειας Ναυσιπλοΐας του Αρχηγείου Λιμενικού Σώματος-Ελληνικής Ακτοφυλακής, πραγματοποιήθηκε στο Ίδρυμα Ευγενίδου, Ημερίδα με θέμα: "Κυβερνο-ασφάλεια και Ναυτιλία – Ένα σύγχρονο πρόβλημα".

Στη συνάντηση συμμετείχαν στελέχη από ναυτιλιακές εταιρείες, Αναγνωρισμένους και εξουσιοδοτημένους από την Ελληνική Ναυτιλιακή Διοίκηση Οργανισμούς και Νηογνώμονες καθώς και φοιτητές των Πανεπιστημίων Πειραιώς και Αιγαίου και της ΑΕΝ Ασπροπύργου.

 

Ο Γενικός Γραμματέας Καθηγητής κ. Ιωάννης Θεοτοκάς στον χαιρετισμό του ανέφερε ότι στο πλαίσιο της θεσμικής συνεργασίας και διαβούλευσης του Υπουργείου με τη ναυτιλιακή κοινότητα, η εν λόγω Ημερίδα αποτελεί μια από εκείνες τις πρωτοβουλίες που έχουν προγραμματιστεί προκειμένου να υπάρξει ενημέρωση των ναυτιλιακών εταιρειών, των νηογνωμόνων και των φορέων της ναυτιλίας για τις τελευταίες εξελίξεις για επίκαιρα θέματα, όπως αυτό των κακόβουλων επιθέσεων στα λογισμικά των πλοίων και των ναυτιλιακών εταιρειών καθώς και των λιμενικών υποδομών. Συνεχίζοντας, επισήμανε ότι στόχος της εκδήλωσης είναι να καταγραφούν οι προβληματισμοί και οι απόψεις της ναυτιλιακής κοινότητας, ούτως ώστε μέσα από ένα εποικοδομητικό διάλογο να βελτιωθεί, όπου απαιτείται, η συνεργασία αυτή για να αντιμετωπισθούν τα πιθανά προβλήματα των πλοίων μας.

Στην εκδήλωση συμμετείχαν ως ομιλητές στελέχη της Δίωξης Ηλεκτρονικού Εγκλήματος της ΕΛ.ΑΣ. με επικεφαλής τον Υποστράτηγο ΕΛ.ΑΣ ΣΦΑΚΙΑΝΑΚΗ Εμμανουήλ, εκπρόσωποι της Διεύθυνσης Κυβερνοάμυνας του ΓΕΕΘΑ, της Εθνικής Ασφάλειας Αντιμετώπισης Κυβερνοεπιθέσεων και του ΚΕΜΕΑ, καθώς επίσης και οι κ.κ. ΓΚΡΙΤΖΑΛΗΣ Δημήτριος και ΝΙΚΗΤΑΚΟΣ Νικήτας, καθηγητές του Οικονομικού Πανεπιστημίου Αθηνών και του Πανεπιστημίου Αιγαίου, αντιστοίχως, και τέλος, εκπρόσωποι του Πανεπιστημίου Πειραιά και του ΚΕΝΑΠ, οι οποίοι παρουσίασαν από την δική τους προοπτική τα θέματα που σχετίζονται με το θέμα των κυβερνο-επιθέσεων (cyber-attacks) στις εφαρμογές των πλοίων, των εταιρειών και των λιμενικών υποδομών, ενώ από πλευράς Διεύθυνσης Ασφάλειας Ναυσιπλοΐας έγινε παρουσίαση επί των εξελίξεων στους Διεθνείς Οργανισμούς σε ότι αφορά το θέμα της κυβερνο-ασφάλειας (cyber-security), των προσφάτων ανακοινώσεων της Ακτοφυλακής των ΗΠΑ σε ότι αφορά τη Στρατηγική για την Κυβερνο-Ασφάλεια στον τομέα της ναυτιλίας.

Στο πλαίσιο της εκδήλωσης, αναπτύχθηκαν προβληματισμοί και έγινε εκτενής συζήτηση επί θεμάτων κυβερνοασφάλειας που αντιμετωπίζουν πλοία και εταιρείες, εντοπίζοντας πραγματικά και δυνητικά προβλήματα που έχουν ανακύψει, καθώς και πρακτικές που εφαρμόζονται επί του παρόντος, σε θέματα εξοπλισμού, λογισμικού καθώς και εκπαίδευσης στελεχών εταιρειών και φορέων για την αποτελεσματικότερη αντιμετώπισή τους.

Παρουσιάσεις

Collaborative Security Management Services for Port Information Systems

Cybersecurity from a corporate perspective

 
 

 

Contact

www.cyberinsurancegreece.com ngeorgopoulos@outlook.com