Wyzwania cyberbezpieczeństwa w gospodarce morskiej.

– Transport morski wciąż tak naprawdę nie został sparaliżowany poważnym atakiem hakerskim. To dobrze, bo mamy czas, aby się na niego przygotować – podkreślał

Marcin Marciniak z EY Polska podczas konferencji o cyberbezpieczeństwie w gospodarce morskiej, która odbyła się 14 marca br. w Gdyni.

Pierwszym punktem dyskusji była  unijna dyrektywa NIS2 (Network and Information Systems Directive), której założenia omówiła Joanna Gałajda z EY Polska. Dokument znacznie rozszerza sektory, które zostaną nią objęte (w porównaniu do NIS) i tworzy 2 grupy podmiotów: podmioty kluczowe (należy do nich m.in. transport) i podmioty ważne, w konsekwencji obejmie wiele dużych i średnich. Nowe rozwiązania dyrektywy to m.in. odpowiedzialność zarządów firm, ochrona łańcucha dostaw, ochrona wymiany danych w czasie rzeczywistym i wysokie kary (co najmniej 10 mln euro). Co ważne – dyrektywa weszła w życie 16 stycznia br. i czas na wdrożenie jej w naszym kraju to tylko 565 dni. I właśnie o rozwiązaniach wprowadzonych przez NIS2 i innych regulacjach dyskutowali paneliści z sektora morskiego i logistycznego.
– NIS2 jest ważną i wprowadzoną trochę zbyt późno regulacją. Z naszej perspektywy rozwiązania zawarte w dyrektywie potwierdzają, że inwestując w cyberbezpieczeństwo, poszliśmy w dobrym kierunku – zaznaczył Piotr Tretyn, kierownik działu informatyki i telekomunikacji w Zarządzie Portu Morskiego Gdynia.
Karolina Krużewska – Ossowska, inspektor ochrony danych i pełnomocnik zarządu ds. cyberbezpieczeństwa w Polskiej Żegludze Bałtyckiej – Polfferies, podkreśliła, że jej firma, mimo, że zgodnie z wytycznymi ustawy o Krajowym Systemie Cyberbezpieczeństwa nie została zakwalifikowana do operatorów usług kluczowych, to i tak wprowadziła wiele rozwiązań, które mają zapewnić PŻB możliwe jak największe bezpieczeństwo cybernetyczne. Kolejne będą niezbędne w związku z nową dyrektywą.

– Jednym z ważniejszych wyzwań związanych z NIS2 jest upewnienie się, czy wprowadzone procedury nie zostają tylko na papierze, ale są faktycznie realizowane. Tutaj niezbędne będą audyty wewnętrzne, które zweryfikują, czy zgodność z procedurami cyberbezpieczeństwa jest zachowana – podpowiadała K. Krużewska – Ossowska.

Natomiast Dariusz Cernowski, kierownik działu IT w Terramar, ocenił, że duże znaczenie w zakresie cyberbezpieczeństwa dla małych i średnich firm  miała wprowadzona w 2013 r. ustawa o ochronie danych osobowych.
– Wprowadziła ona wiele istotnych zmian w zakresie bezpieczeństwa danych i systemów informatycznych. Tutaj impulsem do działania były znaczne kary związane z RODO, które działały na wyobraźnię. I dzięki temu zupełnie nieświadomie zrobiliśmy ważny krok w stronę cyberbezpieczeństwa.  Żałuję natomiast, że ustawa o krajowym systemie cyberbezpieczeństwa z 2018 r. nie objęła wszystkich firm, niezależnie od ich wielkości, bo tak naprawdę zagrożenie może wyjść z małej firmy i przejść do dużej – tłumaczył D. Cernowski.

Drugi panel konferencji skupiał się natomiast m.in. na stanie świadomości cyberbezpieczeństwa w firmach gospodarki morskiej oraz stanie zabezpieczeń przed incydentami. Mówił o tym właśnie M. Marciniak, który mógł pokusić się o spojrzenie na sektor z „zewnątrz”.
– Firmy z branży mają już świadomość ryzyka, zaczynają dostrzegać jak szerokie mogą to być zagrożenia i uruchamiają programy, które mają je przeprowadzić przez wymogi cyberbezpieczeństwa. Potrzebna będzie jednak ścisła współpraca między firmami z sektora, choćby po to, żeby wymieniać się informacjami o zagrożeniach.– prognozował M. Marciniak.
Paneliści wspominali także o masowym fałszowaniu transponderów statków (systemy AIS), których technologia powstała w latach 70. i była całkowicie pozbawiona zabezpieczeń. Wskazywano również, że systemy OT, na coraz większa skalę funkcjonujące w portach i w całym sektorze przemysłowym, są najbardziej narażone na ataki, z racji wieloletnich zaniedbań w aktualizacji zarówno oprogramowania, jak i systemów zabezpieczeń. Jako wyzwanie określono natomiast ścisły nadzór na bezpieczeństwem sieci w taki sposób, żeby nie zrazić do siebie klientów lub nie pojawiły się obawy o naruszenia danych osobowych.

Piotr Chmielewski, specjalista ds. cyberbezpieczeństwa w Zarządzie Portu Morskiego Gdańsk, dodał również, że jego dział na bieżąco śledzi ruch w portowej sieci, zwracając szczególna uwagę np. na nietypowe logowania.

– Sprawdzamy wtedy, dzwoniąc lub esemesując, konkretnych pracowników, u których wykryto podejrzaną aktywność w środku nocy albo zagraniczne połączenia, aby potwierdzić, że jest to efekt delegacji zagranicznej, a nie próby włamanie. Dlatego pracownicy działu handlowego często sami informują nas wcześniej o wyjazdach – podkreślił P. Chmielewski.

Natomiast Krzysztof Serwatka ze spółki Polski PCS, zaznaczył, że tygodniowo odnotowywanych jest ok. 80 incydentów, ale na szczęście nie były to poważne. Jednak zaraz po powstaniu spółki sformułowane zostały procedury bezpieczeństwa, które wprowadzono w życie oraz wdrożono certyfikat zarządzania bezpieczeństwem informacji ISO 27001.
Zresztą jak podkreślili niemal wszyscy uczestnicy dyskusji, ze względu na aktualną sytuację geopolityczną za ok. 80% ataków stoją grupy z Rosji i z Chin, ale także z Korei Północnej.

Artykuł opracowany we współpracy z magazynem Namiary na Morze i Handel

fot. Namiary na Morze i Handel