Međunarodne regulative za cyber sigurnost u pomorskom sektoru još uvijek nema

Datum objave: 30.6.2017., 9:00

Budućnost cyber rizika u pomorskom osiguranju


U svijetu koji se brzo mijenja, osobito uz razvoj tehnologije, pravilno upravljanje rizikom trebat će odgovoriti na izazove novog operativnog okruženja, a osigurateljna industrija morat će se suočiti s izazovima kako bi omogućila sigurnost za 90 posto svjetske trgovine.

Piše: mr. sc. Jana Rodica, Van Ameyde Jadran

Budućnost pomorskih cyber rizika i osiguranja brodova koji obavljaju međunarodnu plovidbu ključna je za globalnu ekonomiju s obzirom na to da se oko 90 posto trgovine robom prevozi putem međunarodne brodarske industrije.

Trend pada gubitaka u pomorskom prijevozu ohrabruje, no pred brodarskom industrijom još su mnogi izazovi. U sve povezanijem svijetu, cyber otvara velike mogućnosti za vlasnike brodova i brodare u segmentu poboljšanja izvedbe i učinkovitosti prijevoza, ali to donosi i povećani rizik za sigurnost plovidbe i sigurnosnu zaštitu brodova. Cyber rizici već su prisutni u plovidbi, koja se sve više oslanja na alate za elektroničku navigaciju i međupovezanost. Tako je danas moguće primijetiti značajno oslanjanje na tehnologiju primjerice kod navigacije ili obuke posade, koja nije jedinstvena u svim zemljama, a to će u sve naprednijem IT okruženju olakšati posao hakerima kada pokušavaju napasti brod. Osim radi vlastite dobiti, hakeri uzrokuju i nezgode koje izazivaju veliku pozornost javnosti da bi osramotili tvrtku ili joj naštetili, zbog čega je primijećen i prijavljen povećan broj malicioznih prigušivanja GPS signala u nekim morima. Takozvani “spoofing” napadi podrazumijevaju vrstu cyber napada koji mogu skrenuti brod s kursa, što može potencijalno uzrokovati sudar, potapanje ili neke druge ozbiljne pomorske nezgode.

Navigacijski sustav samo je jedan element integriranog, kompleksnog informacijskog procesa kojem se direktno može pristupiti. Mreža navigacijskog sustava uključuje integriranu navigaciju, radare, brzinu prijave, sonar, autopilote, snimku podatka o putovanju, prijemnike informacija o vremenu, uređaje za pozicioniranje (satelitska navigacija). Brodski vatrozid (firewall) često nije u stanju osigurati adekvatnu zaštitu s obzirom na to da se ranjivost očituje u nužnosti različitih sustava da komuniciraju jedan s drugim. Ustvari, uz toliko mnogo različitih dobavljača različitih komponenti sustava (poput radara, GPS-a, AIS-a), otvorena komunikacija nužna je za zajedničku operativu. Fleksibilnost, koja je neodvojiva od sistemskih komponenti, omogućava da komunikacija s komponentama drugih proizvođača podlegne sigurnosnim propustima, što postaje meta hakerima. Mnogo je onih koji imaju loše namjere, a mogu biti zainteresirani za takve podatke. Posljedice takvog malicioznog djelovanja uzrokuju povećanje krađe podataka i tereta, iznuda, oštećenja imovine zajedno s tjelesnim ozljedama, a ponekad mogu rezultirati čak i gubitkom života.

Nisu isključene ni katastrofe, poput onih povezanih s onečišćenjem okoliša (primjerice nasukavanje broda sa spremnikom tekućeg plina), što je također utjecalo na luke. Primjeri su brojni: u 2012. više od 120 brodova, uključujući brod azijske obalne straže, bilo je metom malicioznog prigušivanja GPS signala; u 2013. u luci Antwerpen organizacija koja je krijumčarila drogu hakirala je sustav za praćenje robe; u 2014. u glavnoj američkoj luci sve dizalice su simultano ugašene tijekom operacija ukrcavanja i iskrcavanja zbog nepoznatog upada u sistem. Neadekvatna cyber zaštita relativno je nova prijetnja u usporedbi s tradicionalnim vrstama ugroza.

Međutim, na cyber rizik mnogi gledaju kao na glavno pitanje za napredak brodarske industrije, osobito kada se zna da nije nezamislivo da bi napad u konačnici mogao rezultirati gubitkom broda. U 2012. Europska agencija za mrežnu i informacijsku sigurnost izdala je Analizu cyber sigurnosnih aspekata u pomorskom sektoru, naglašavajući da je svjesnost o nužnosti cyber sigurnosti i izazovima u pomorskom sektoru trenutno niska, pa čak i nepostojeća.1

Tehnološki napredak predvodi put u budućnost u kojoj će brodovi biti bez posade. U 2015. godini finski dizajner brodova prezentirao je brod bez posade sposoban za prijevoz stotine putnika. Mnogi drugi prototipovi samoupravljajućih teretnih brodova također su imali premijeru u nedavnoj prošlosti. U jednoj od najpopularnijih sistemskih konfiguracija samoupravljajući brodovi navođeni su takozvanim integriranim sustavom mosta (Integrated Bridge System, IBS), koji ima direktnu kontrolu nad automatskim sistemom motora (EAS), autonomnim brodskim upravljačem (ASC) i naprednim senzorskim modulom (ASM). EAS kontrolira AEMC, odnosno autonomni nadzor i kontrolu motora, a ASM umjesto toga komunicira s odanim LOS komunikatorima (AIS, VDES, GMDSS). Takvi sustavi upravljanja brodom sučeljeni su putem komunikacijskih upravljača sa SCC-om ili obalnim kontrolnim centrom, koji obuhvaća obalnu kontrolu, daljinsku navigaciju i obalnu kontrolu mosta, a SCC i IBS tada komuniciraju s ostalim brodovima i obalnim sistemima. Implikacije cyber rizika uključene u kontrolu i navigaciju samoupravljajućih brodova evidentne su i ne zahtijevaju opširnu argumentaciju.2

Trenutno ne postoji globalna regulativa za upravljanje cyber sigurnošću u pomorskom sektoru, ali u pripremi je. Do kraja 2018. godine brodovi koji plove u američkim obalnim vodama mogli bi biti subjektom nove cyber sigurnosne regulative koju trenutno razvija američka obalna straža. Okvir će se vjerojatno zvati NIST-800, a radi se o nizu kompjuterskih sigurnosnih pravila, procedura i smjernica. Međunarodna pomorska organizacija (IMO) u svojem privremenom vodiču o upravljanju pomorskom cyber sigurnošću priznaje opasnosti nametnute cyber rizicima u pomorskoj industriji: “Dioničari trebaju poduzeti potrebne korake za siguran prijevoz od tekućih i novonastalih ugroza i ranjivosti povezanih s digitalizacijom, integracijom i automatizacijom procesa i sistema u brodarstvu”.3

Uz ranije spomenuti dokument, IMO je pokušao osigurati privremene smjernice o upravljanju pomorskim cyber rizikom i sigurnom prijevozu od ugroza i ranjivosti povezanih s digitalizacijom, integracijom i automatizacijom procesa. U uvjetima procesa upravljanja rizikom, IMO vrlo zanimljivo pravi razliku između sustava informacijske tehnologije i operativnih tehnoloških sustava koristeći takve podatke kako bi kontrolirao ili nadzirao fizičke procese. Rizici se uglavnom javljaju zbog razmjene informacija i komunikacijskih protokola između tih sustava koji su zajedno ključni za brodsku sigurnost, osobito u svijetu koji će uskoro biti u potpunosti automatiziran i u kojem će pomorski prijevoz obavljati samoupravljajući brodovi.

Prijetnje je IMO identificirao kao namjerne ili nenamjerne, poput malicioznih hakerskih napada ili nenamjernih posljedica legitimnih akcija poput održavanja softvera. IMO je prihvatio naprednu tehnologiju i ugroze koje otežavaju adresiranje tih rizika samo kroz tehničke standarde. Upravljanje cyber rizikom podrazumijeva identifikaciju i procjenu cyber rizika kao i prihvaćanje, izbjegavanje, transferiranje ili njihovo premještanje na prihvatljivu razinu, uzimajući u obzir troškove i koristi akcija koje poduzimaju dioničari. Cilj upravljanja pomorskim cyber rizikom jest podržati sigurni prijevoz brodovima koji je operativno otporan na cyber rizike.

Nadalje, IMO vjeruje da učinkovito upravljanje cyber rizicima treba početi na višem upravljačkom nivou. Učinkovito upravljanje pomorskim cyber rizikom vodi do pitanja transfera cyber rizika u osigurateljno okruženje, u kojem obično pomorske osigurateljne police isključuju odgovornost povezanu s IT-em i štete koje su rezultat kompjuterskih i mrežnih sigurnosnih padova. Samostalno cyber osiguranje može integrirati takvo pokriće za krađu podataka, upade u mrežno poslovanje i cyber iznude isključujući u većini slučajeva imovinsku štetu i tjelesne ozljede.

To ostavlja pomorsku industriju s očitom prazninom u cyber rizicima. Ustvari, pravila o cyber riziku obično uključuju kao standardni tekst ili posebnu klauzulu pokriće kršenja privatnosti i iznošenja podataka poput neautoriziranog razotkrivanja osobnih identifikacijskih informacija uključujući štete odgovornosti, obranu, ali i odgovor na regulatorne akcije, troškove odgovornosti prve stranke i forenzičke IT troškove koji su uključeni u istraživanje sigurnosnih upada koji su doveli do razotkrivanja. Za poslovne upade primjerice riječ je o pokriću potaknutom određenim neopipljivim ili nefizičkim događajima poput prekida poslovanja zbog hakiranja IT sustava ili nemarnih radnji osoblja koje mogu uzrokovati pad softvera ili hardvera. To pokriće također uključuje naknadu štete za ponovnu izgradnju baze podataka i zamjenu ili popravak softvera u slučaju hakerskih incidenata. Police također pokrivaju troškove slučajnih zahtjeva povezanih sa cyber iznudom, multimedijsko pokriće u vezi s klevetom, kršenje intelektualnog vlasništva ili povredu privatnosti.

Međutim, cyber osiguranje u većini slučajeva ne osigurava pokriće za tjelesne povrede i oštećenje imovine. Standardna Lloyd’s klauzula CL380 (2003) ustvari se odmiče od pokrića upotrebe IT sustava kao sredstva nanošenja štete. To se primjenjuje u različitim formama većine P&I klubova. Ostale praznine ili ograničenja pokrića povezanih sa cyber rizikom mogu se pronaći u osiguranjima koja pokrivaju postrojenja na obali poput luka, terminala i brodogradilišta. Takva izuzeća su primjerice Teroristička forma T3 LMA3030 isključenje 9, koje izuzima cyber napade motivirane od terorista (na sličan način kao CL380). Isto se odnosi i na nepomorska osiguranja imovine, iako u manjem opsegu od standardne Electronic Data Exclusion (NMA2914) koja se obično nalazi u policama imovinskih osiguranja o prekidu poslovanja koje ne sadrže toliko mnogo isključenja kao CL380. Pregovori s osigurateljima da ukinu ta isključenja pokazali su se neuspješnima jer bi ih ukidanje tih klauzula, koje su sadržane u većini ugovora o reosiguranju, moglo izložiti značajnim gubicima.4

Ostaje da se potencijalni pomorski cyber rizici primarno odnose na oštećenje imovine (trup broda, teret, jahte, saloni), oštećenje imovine treće strane i tjelesne ozljede (pomorska odgovornost), te na greške i propuste.

Osigurateljna industrija dosad se opirala promjenama u svojoj ponudi osigurateljnih pokrića za pomorsku industriju. Iako je možda ponekad snosila troškove koji se odnose na cyber rizike zbog nemogućnosti točnog razlučivanja neposrednih uzroka štete, ipak nije uspjela pratiti trend industrije prema budućnosti samoupravljajućih brodova koji su potpuno kontrolirani informatičkim sustavima, kako na brodu tako i na kopnu. IT gubici uslijed zlonamjernih ili nemarno prouzročenih cyber događaja mogu se pretvoriti u katastrofe, ovisno o veličini brodova, koji su sve veći, vrsti prijevoza tereta (npr. opasni teret, tekući plin itd.), ali i koncentraciji prometa u velikim lukama te tehnološkom razvoju brodova.

U svijetu koji se brzo mijenja, osobito uz razvoj tehnologije, pravilno upravljanje rizikom trebat će odgovoriti na izazove novog operativnog okruženja, a osigurateljna industrija morat će se suočiti s izazovima kako bi omogućila sigurnost za 90 posto svjetske trgovine.

Članak je objavljen u tiskanom izdanju časopisa Svijet osiguranja, broj 6, 2017.