Navigazione e difesa

L’essenza della sicurezza informatica nel settore navale

Qualche dato utile

La navigazione marittima rappresenta attualmente il 70% del traffico commerciale globale, generando un flusso di valore di circa 13 trilioni di dollari (fonti: Ufficio Sviluppo e Commercio delle Nazioni Unite – Fondo Monetario Internazionale). In questo contesto, le navi assumono un ruolo cruciale come nodi di rete e sistemi integrati, interconnessi con altre flotte, compagnie e parti terze.

La complessità di questa situazione evidenzia la sfida a cui ci troviamo di fronte: la sicurezza informatica nel settore navale. Tutte le normative nazionali e internazionali in materia di sicurezza informatica marittima si basano sul Capitolo IX della Convenzione Internazionale per la Sicurezza della Vita Umana in Mare (SOLAS), noto come International Management Safety Code. In tale contesto normativo, la sicurezza informatica è considerata una questione di “safety” (protezione delle persone e/o dei sistemi da malfunzionamenti) piuttosto che di “security” (protezione delle persone e/o dei sistemi da minacce esterne).

Il documento normativo International Management Safety Code condivide alcuni temi comuni

• La sicurezza informatica deve essere affrontata applicando tecniche di gestione del rischio nel contesto della sicurezza delle informazioni.
  
• I rischi informatici devono essere gestiti e affrontati all’interno del Sistema di Gestione della Sicurezza.
  
• La resilienza informatica deve essere sviluppata per tutti i sistemi navali con impatto sulla sicurezza, distinguendo tra sistemi IT (Information Technology) e sistemi OT (Operation Technology).
  
• I sistemi IT forniscono accesso a informazioni e contenuti digitali, come per esempio i sistemi di navigazione su internet; mentre i sistemi OT controllano e monitorano l’esecuzione di processi fisici, come i sistemi di controllo della propulsione. Tuttavia, esistono anche sistemi integrati IT e OT, come i sistemi di diagnostica e controllo remoto della propulsione.

I sistemi critici di bordo

A un secondo livello di analisi dei sistemi, è fondamentale identificare i sistemi critici e gli elementi funzionali critici in termini di sicurezza. Tra i sistemi critici di bordo troviamo i sistemi di navigazione, i sistemi di comunicazione satellitare (Sat Com), i sistemi di automazione della macchina, la rete navale e il sistema di gestione delle proprietà della nave. Gli elementi funzionali critici includono la manutenzione remota, gli aggiornamenti di sistema, tutti i servizi esposti su internet e l’interazione umana.

Per le navi in esercizio che non sono state progettate con la resilienza informatica, è necessario affrontare ulteriori criticità. L’analisi dei sistemi a vari livelli fa parte di una più ampia valutazione del rischio informatico, che include analisi e valutazione di vulnerabilità e rischi. È importante considerare che livelli di dettaglio diversi presentano rischi diversi, e l’impatto di un evento a un livello può propagarsi ad altri livelli. Inoltre, le normative internazionali suggeriscono un approccio olistico alla sicurezza informatica, come indicato nel NIST Cybersecurity Framework. 

Il Cyber Security Contingency Plan (CSCP)

Il risultato di quest’analisi è il Cyber Security Contingency Plan (CSCP), che integra e completa il Sistema di Gestione della Sicurezza (SMS) per quanto riguarda la sicurezza informatica. Questo piano considera le situazioni di pericolo informatico e le strategie per affrontarle. 
In conformità alle normative vigenti, tutta la documentazione prodotta in materia di sicurezza informatica confluisce in una sezione dedicata del SMS, strutturata in modo frattale come il sistema stesso: dalle politiche aziendali, al manuale, alle procedure, fino ai report.
Un’attenzione particolare deve essere dedicata alle nuove costruzioni, le navi del futuro.
Per queste imbarcazioni, le misure di protezione informatica sono integrate sin dalle prime fasi del processo di progettazione, secondo il principio del “cyber security by design”, prevedendo anche più livelli di protezione (defence in depth).

In generale, la resilienza informatica di una nave, sia essa nuova o meno, deve essere costantemente monitorata durante l’intero ciclo di vita, mediante audit interni e analisi dei report sugli eventi verificatisi. Attraverso queste pratiche, ogni azienda di navigazione valuta l’efficacia del proprio sistema di sicurezza informatica e, se necessario, apporta le modifiche opportune, seguendo l’approccio di miglioramento continuo prescritto dalle normative.

Conclusioni. Come possiamo difendere le infrastrutture navali?

Risulta evidente l’importanza della sicurezza informatica nel settore navale. Non è un processo da attivare solo quando richiesto, ma una forma di protezione che deve essere costantemente rinnovata, accompagnando la nave per l’intero ciclo di vita, dal momento del suo progetto fino al suo disarmo.
È fondamentale comprendere che la sicurezza informatica è un elemento imprescindibile per garantire la sicurezza operativa e proteggere i sistemi critici, le informazioni sensibili e le vite umane.

Agger è stato sviluppato e testato proprio sulle navi militari e abbiamo avuto la possibilità di studiare a lungo il complesso sistema delle navi, sia dal punto di vista IT che OT. Ora Agger è disponibile anche per il settore Navale Civile.