السيبرانية هاك: تحصين البحرية ، أمن الميناء

© denisismagilov / Adobe Stock

يحدد تحذير السلامة البحرية لخفر السواحل بالولايات المتحدة 06-19 (USCG MSA 06-19) حادثة فبراير 2019 على متن سفينة تجارية عميقة استدعت ميناء نيويورك / نيوجيرسي بعد تعرضها لحادث سيبراني كبير أثر على سفينة النقل الخاصة بهم شبكة الاتصال.

تنبيه السلامة المذكور جزئياً:
"قام فريق من الخبراء من خبراء الإنترنت ، بقيادة خفر السواحل ، بالرد وإجراء تحليل لشبكة السفينة وأنظمة التحكم الأساسية. وخلص الفريق إلى أنه على الرغم من تدهور البرامج الضارة بشكل كبير في وظائف نظام الكمبيوتر على متن الطائرة ، إلا أن أنظمة التحكم الأساسية في السفن لم تتأثر. ومع ذلك ، وجد الرد المشترك بين الوكالات أن السفينة كانت تعمل دون اتخاذ تدابير فعالة للأمن السيبراني ، الأمر الذي عرّض أنظمة التحكم الحرجة في السفينة لضعف كبير ".

يوفر هذا الحادث إرشادات قيمة حول كيفية تقييم الاستعداد الأمني للمطاريف والسفن والبنية التحتية المرتبطة بها. كما يبرز أهمية كيفية تطوير التدريبات الأمنية وتدريب طاقم العمل. من أهم العوامل التي تم استبعادها من USCG MSA 06-19 هو أن خفر السواحل يشجع بقوة جميع مالكي السفن والمنشآت والمشغلين على إجراء تقييمات للأمن السيبراني لفهم مدى ثغراتهم السيبرانية بشكل أفضل. يجب أن يكون هذا مراجعة خاصة بالسفينة والمرافق لأن كل أصل يمكن أن يكون له تعريضات فريدة.
والخبر السار هو أن هناك أصول مجانية جيدة متاحة للمساعدة في إجراء هذا الاستعراض. يوفر موقع الويب الخاص بوزارة الأمن الداخلي وأمن البنية التحتية (CISA) موارد الأمن السيبراني وأفضل الممارسات للشركات https://www.us-cert.gov/resources . أحد المصادر التي يجب دراستها هو مراجعة Cyber Resilience (CRR). يوفر التقييم الذاتي لـ CCR مقياسًا لقدرات المؤسسة على المرونة الإلكترونية ويوفر دليل مستخدم مفيدًا يوفر معلومات حول إجراء عمليات التقييم الذاتي وتقييم إمكانيات المرونة الإلكترونية وتوفير التوجيه لأنشطة المتابعة.

يمكّن التقييم الذاتي CRR أي مؤسسة أيضًا من تقييم قدراتها المتعلقة بإطار الأمن السيبراني للمعهد الوطني للمعايير والتكنولوجيا (NIST) ، كما يتم تضمين وثيقة عبرية تعيّن CRR إلى NIST CSF كمكون من مكونات طقم التقييم الذاتي CRR.

يعد التقييم الذاتي لأمن الفضاء الإلكتروني هو البداية ، ولكن من الأهمية بمكان أن يتم تضمين التدريب والتدريبات للمساعدة في الحفاظ على وتحسين أمن الموانئ والسفن. التدريب على الأمن السيبراني متاح على موقع إدارة الأعمال الصغيرة بالولايات المتحدة (https://www.sba.gov/course/cybersecurity-small-businesses/).

جميع الموظفين لديهم دور في الأمن السيبراني والفضاء الإلكتروني هو عنصر حاسم في الأمن المادي الشامل. تستخدم بطاقات الهوية وبطاقات التمرير بشكل منتظم للوصول إلى المنشآت ، وهذه ليست سوى عدد قليل من العديد من أنظمة التشغيل التي يمكن اختراقها في حادث سيبراني. يجب أن يبدأ التدريب بالتعيينات الجديدة ويشمل جميع الموظفين. كما هو الحال مع أي خطة عمل ، من الأهمية بمكان أن تستثمر الإدارة العليا في نجاح الأمن التشغيلي. من المهم أيضًا التماس والرد على مدخلات الملفات والمدخلات. أفضل الإجراءات هي تلك التي يتم تطويرها بمشاركة قوية وتواصل ، وكذلك تخضع للمراجعة والتقييم بشكل منتظم. يجب ألا يبدو الإجراء جيدًا على الورق فقط ؛ كما يجب أن تكون وظيفية وتلبية حاجة حقيقية.

من المهم أيضًا تضمين شركاء الأعمال في التدريبات الأمنية للمساعدة في تطوير العلاقات وتعزيزها وإنشاء أساس سليم للتدريب. وجود ملاحظات من خارج المنظمة أمر حيوي لتطوير والحفاظ على وضعية أمنية قوية. تعد خطة الاستجابة المناسبة في حالة وقوع حادث فعلي أمرًا بالغ الأهمية ، ومن المهم إجراء التدريب في ظروف العالم الحقيقي. هذا لا يعني الاعتماد فقط على الأنظمة المستندة إلى تكنولوجيا المعلومات للاستجابة لحادث أمني ، بل لاستخدام أنظمة النسخ الاحتياطي اليدوية. هذا يعني أيضًا أن العمليات تحتاج إلى تقييم ووضع خطط لتقليل العمليات في حالة عدم توفر أنظمة تلقائية أو لا يمكن الاعتماد عليها.

كما ذكرنا في Allianz Global Corporate & Speciality 2019 Safety and Shipping Review ، أصبحت التكنولوجيا الآن منتشرة على نطاق واسع في الصناعة البحرية ، وهي ضرورية لإدارة السفن والموانئ والخدمات اللوجستية. من المتوقع أن يكون الاستخدام المتزايد للتكنولوجيا المتصلة في القطاع البحري أمرًا إيجابيًا لكل من السلامة والمطالبات. أدوات الملاحة الإلكترونية ، والاتصالات من السفينة إلى الشاطئ وزيادة استخدام أجهزة الاستشعار لديها القدرة على تحسين الملاحة والمساعدة في تجنب الانهيارات والاصطدامات.

في عام 2017 ، اعتمدت المنظمة البحرية الدولية (IMO) قرارها بشأن إدارة المخاطر السيبرانية البحرية في أنظمة إدارة السلامة ، والذي يتطلب من مالكي ومديري السفن دمج إدارة مخاطر الإنترنت في سلامة السفن بحلول عام 2021. ومع ذلك ، فإن هذا يمثل تهديدًا حاليًا يجب أن يكون تم التصرف الآن ، ولم يتم تأجيله حتى تدخل اللوائح حيز التنفيذ. في حين أن التكنولوجيا الجديدة وإنترنت الأشياء قد أدخلت العديد من حالات التعرض والتهديدات الجديدة ، فإن التدريب الأمني الحالي يعكس ، من نواح كثيرة ، نفس الأهداف والغايات التي كانت لدينا عند تبخيرها في مياه القرصنة في الثمانينيات ؛ قدم هدفًا صعبًا ولديك خطة يمكنها البقاء على قيد الحياة في الفم.