¿Qué haces si un hacker toma el control de tu nave?
NTNU está capacitando a los marineros sobre cómo responder a un ataque cibernético en curso
[By Eli Anne Tvergrov]
Te paras en el puente y el curso se ve digitalmente. Aún así, ¿por qué el barco continúa girando hacia el oeste?
En las pantallas de la computadora en la timonera oscura, todo parece normal, pero fuera de la ventana, ¡la tierra se acerca peligrosamente! ¿Lo que está sucediendo?
Abajo, en la sala de máquinas, informan por radio que todo está normal, pero se preguntan por qué el puente ha cambiado de rumbo. Los motores aceleran y el barco gana velocidad. No es el ingeniero quien ha hecho esto. ¿Ahora que?
La ciberseguridad es un tema candente para toda la industria marítima, y también en la academia. Un equipo conjunto realizó recientemente un curso de seguridad cibernética completamente nuevo en NTNU en Ålesund.
Probablemente el primero de su tipo.
NTNU en Ålesund, a través de su programa industrial para la industria marítima, ha ofrecido este año el nuevo curso «Seguridad digital marítima.»
Durante dos meses, los participantes del curso observaron la imagen de la amenaza digital. Han evaluado el riesgo de las amenazas digitales actuales y han practicado de forma realista un ataque cibernético en un barco a vela. El enfoque clave está en la gestión de riesgos de los ataques cibernéticos y la creación de resiliencia.
«Donde hay tecnología de la información y personas, hay espacio para la vulnerabilidad digital. Las brechas de seguridad pueden venir en los sistemas del buque y pueden venir en el sistema portuario y a través de las personas que los operan o supervisan,» Marie Haugli-Sandvik y Erlend Erstad explican.
Ambos son becarios de doctorado en el Departamento de Operaciones Oceánicas e Ingeniería Civil de NTNU. Están investigando cómo la industria marítima puede estar mejor equipada para manejar ataques cibernéticos.
Los becarios han desarrollado y ahora imparten el curso de seguridad digital marítima, probablemente el primero de su tipo en Noruega.
El curso se incluye como parte de las tesis doctorales que están a punto de realizar.
Requisitos internacionales
La Dirección Marítima de Noruega y la Administración Costera de Noruega tienen el objetivo estratégico de ofrecer a la gente de mar y al personal habilidades esenciales de seguridad digital. El punto de partida son los requisitos internacionales dados por la OMI (Organización Marítima Internacional).
Por lo tanto, las asociaciones industriales internacionales y las organizaciones navieras se centran en este tema. Dentro de los requisitos básicos para el envío, pronto habrá requisitos mínimos aún más estrictos para la seguridad cibernética. Los requisitos más estrictos para la capacitación, la práctica y el entrenamiento vendrán el próximo año.
Desarrollado junto con la industria.
«El curso que hemos desarrollado ha surgido en estrecha colaboración con la industria. Hemos escuchado lo que quieren, miramos objetivamente sus necesidades y luego probamos la mejor solución que se nos ocurrió.» explica Erlend Erstad.
Los becarios Marie Haugli-Sandvik y Erlend Erstad están investigando y han creado un curso de seguridad digital marítima en paralelo. Este es probablemente el primero de su tipo en este país. El curso se ha llevado a cabo como resultado de la colaboración de NTNU con la industria marítima y otras universidades y colegios. Foto: Eli Anne Tvergrov, NTNU
«Siempre es mejor tener una perspectiva amplia y varios ángulos en nuevos proyectos y métodos. Las empresas establecidas también pueden beneficiarse de los ojos frescos. NTNU es un escenario bueno y razonable para probar nuevas ideas. Como investigadores, podemos ayudar a satisfacer las necesidades urgentes de la industria y, al mismo tiempo, tener un buen diálogo sobre soluciones para el futuro.» dice Marie Haugli-Sandvik.
No hay suficiente formación en cibernética seguridad
Haugli-Sandvik realizó una encuesta este invierno entre 293 oficiales de cubierta de vela de 11 grandes armadores en alta mar en Noruega.
El 83% de estos respondieron que habían participado en algún tipo de formación en ciberseguridad. El 15% respondió que nunca había recibido capacitación. El 2% no sabía si había tenido formación.
«El 82% de los oficiales de cubierta de vela respondieron que habían recibido la formación en forma de e-learning y/o que habían participado en campañas de seguridad digital enviadas por su empleador,» ella dice.
En gran medida, eran los empleadores los responsables de la formación en forma de cursos. Esto demuestra que la industria quiere asumir la responsabilidad, cree Haugli Sandvik. Pero hay muchos cursos de seguridad de TI generales y estandarizados.
«En pequeña medida, habían recibido una formación directamente orientada y/o adaptada a las operaciones marítimas,» dice Haugli-Sandvik.
Esto se muestra en el hecho de que el 66% de los oficiales de cubierta encuestados dicen que no están seguros o no están seguros de tener suficiente capacitación para manejar un incidente cibernético a bordo.
Retos del Informe de Riesgos 2022
La Dirección Marítima de Noruega y la Administración Costera de Noruega señalan varios desafíos en el Informe sobre la estrategia para la seguridad digital marítima 2020.
En el Informe de Riesgos de 2022, la Agencia Nacional de Seguros (NSM) apunta a triplicar el número de incidentes graves y operaciones cibernéticas de 2019 a 2021. El informe correspondiente para 2023 aborda, entre otras cosas, que existen muchas vulnerabilidades en áreas poco claras. cadenas de suministro y que con más imprevisibilidad uno debe estar mejor preparado.
La digitalización en la industria marítima tiene lugar tanto en los sistemas tradicionales de tecnología de la información (sistemas TI) como en la tecnología operativa en sistemas de automatización, propulsión, gestión y otros sistemas de control. Cuanto más se use la conexión remota, la integración y la digitalización en la tecnología operativa, más vulnerable puede ser la operación.
Al mismo tiempo, la vida útil de los barcos más grandes es generalmente de 25 a 35 años, y las actualizaciones digitales en toda la flota internacional generalmente ocurren gradualmente y con el tiempo. Existe una gran variación en el equipamiento informático a bordo tanto para funciones administrativas como para sistemas de control.
La situación se puede trasladar a mucho de lo que ocurre también en los puertos, donde cada vez se automatizan más operaciones. Dentro del tráfico portuario se han descubierto incidentes que evidencian ataques a sistemas informáticos y administrativos. Estos dan lugar a interrupciones del negocio, robo de información y manipulación vinculada al contrabando de mercancías.
Grandes consecuencias
Los eventos de TI digital tienen consecuencias para las operaciones de los barcos. Están desplegando sistemas administrativos de carga de papeles, listas de pasajeros, certificados digitales y permisos de sellado y similares. Las operaciones se retrasan o se impiden.
Grandes consecuencias financieras acompañan a la pérdida de reputación de los jugadores expuestos. Si el barco encalla, se habla de grandes desastres ambientales.
La Agencia Nacional de Seguros (NSM) señala que la actividad en el dominio cibernético puede estar tan avanzada que no la registramos, y la actividad encubierta puede permanecer oculta durante mucho tiempo. ¿Cómo debe reaccionar la tripulación a bordo para descubrir amenazas ocultas?
¿Cómo puede la tripulación a bordo hacer las evaluaciones correctas por adelantado o tomar decisiones concretas en la ventana de tiempo unos minutos antes de que un barco encalle?
Es importante adquirir conocimientos, prevenir y practicar esto que puede pasar.
¿Se está hundiendo el barco? El capitán Odd Sveinung Hareide se pone en contacto con la sala de máquinas. Foto: Eli Anne Tvergrov, NTNU.
Los oficiales de cubierta y la ciberseguridad
La becaria Marie Haugli-Sandvik analiza en su trabajo de doctorado cómo los oficiales de cubierta experimentan el riesgo cibernético en el mar.
«Mi proyecto es parte del trabajo en uno de los 12 centros de NTNU para la innovación impulsada por la investigación. Este centro, SFI MOVE (Operaciones Marítimas en Entornos Virtuales), trabaja con cómo las futuras operaciones marítimas pueden verse a través del uso de gemelos digitales, aprendizaje automático y centros de control en tierra,» ella dice. «Estoy investigando cómo se pueden desarrollar pautas específicas, capacitación y comunicación de riesgos dentro de la seguridad cibernética marítima. También estoy investigando qué herramientas deberíamos desarrollar para manejar los nuevos riesgos cibernéticos que hemos adquirido en el mar.»
«Mi proyecto está dentro de la ciberresiliencia marítima,» dice Erlend Erstad. «Observo cómo los navegantes pueden resistir mejor, prepararse y superar los ataques cibernéticos contra los sistemas de navegación integrados a bordo del barco.»
Resiliencia Cibernética Marítima (MarCy)
El proyecto de investigación es una colaboración entre NTNU, Forsvarets høgskole (FHS) con la Academia Naval (SKSK) y la Escuela de Ingeniería Cibernética (CiS), Kongsberg Defense and Aerospace (KDA), Norwegian Hull Club (NHC) y DNV.
Bajo el nombre de MarCy (Maritime Cyber ??Resilience), está financiado a través del Consejo de Investigación de Noruega y los socios industriales que participaron.
Erstad habla sobre el beneficio mutuo a través del buen contacto con los investigadores del laboratorio Cyber ??SHIP de la Universidad de Plymouth en Inglaterra. Allí también investigan la ciberseguridad marítima.
Para practicar acciones y situaciones realistas en un entorno seguro, han abierto un Cyber Range más amplio, especialmente desarrollado para el sector marítimo. La arena permite a los profesionales e investigadores descubrir vulnerabilidades en los sistemas de control y navegación marítima para barcos.
El compañero Erlend Erstad junto con el ayudante Einar Johan Lukkassen de NTNU evalúan la respuesta del puente. La compañera Marie Haugli-Sandvik, junto con otros participantes y observadores, se prepara para que continúe el juego. Foto: Eli Anne Tvergrov, NTNU
evento simulado
Para el ejercicio más amplio del curso, utilizaron los simuladores de barcos de la NTNU en Ålesund. También son únicos en su diseño cuando se trata de realismo. Los participantes ocuparon sus asientos en simuladores de barcos, diseñados como el puente de un barco como en un barco más grande navegando en el Mar del Norte.
Mientras la mitad del grupo estaba en los simuladores de barcos, los demás tenían ejercicios de escritorio antes de la reflexión, revisión y resumen conjunto. Se eliminaron muchos puntos de aprendizaje. Foto: Eli Anne Tvergrov, NTNU
«Ponemos el escenario del simulador cerca de lo que realmente sucede en un barco, así como de lo que sucede en la comunicación entre el barco y el lado de tierra. Pero a pesar de que el escenario utilizó simuladores de ruido marítimo a gran escala, el enfoque se centró principalmente en iniciar una buena discusión,» explica Erstad.
El ejercicio también incluyó a participantes de DNV, Norwegian Hull Club, NORMA Cyber, Solstad, organismos públicos como Coastal Administration y Høgskolen i Innlandet, así como de la Universidad de Plymouth. Estos fueron invitados como observadores y como expertos en la simulación.
«Obtenemos el mayor aprendizaje del diálogo entre los actores en el ensayo y en la revisión posterior, sobre todo porque luego puedes ver lo que se practicó y el evento en sí desde el punto de vista de otra persona.» dice Erstad.
Fortalecer a aquellos que pueden manejar la situación.
El profesor Kevin Jones dirige el Grupo de Investigación de Amenazas Cibernéticas Marítimas y el laboratorio SHIP Cibernético de la Universidad de Plymouth. Se refiere a los enormes valores que están en juego en la economía y el comercio mundial.
«Cuando el gran buque portacontenedores 'Ever Given' encalló en el Canal de Suez, la causa apuntó al clima y al viento. Aunque no se trató de un ciberataque, el incidente ilustra las consecuencias que afectan a un sistema global vulnerable,» dice Jones.
Pronto, el 90 por ciento del comercio mundial tiene lugar en el transporte marítimo a través de cadenas de suministro marítimo. Es realista que un incidente similar podría ocurrir debido a vulnerabilidades digitales, y luego de un acceso no autorizado a c Computadores y sistemas de control.
«El eslabón débil es el ser humano, y es este eslabón el que hay que fortalecer. ¡Los humanos son el recurso a bordo que puede manejar tal situación!» dice Jones.
Adaptar el desarrollo de habilidades
Los ejercicios y el curso específico con los participantes, ayudantes y observadores han reforzado la visión de los dos becarios de que es importante adaptar el desarrollo de competencias.
El curso probablemente único en el contexto noruego en NTNU en Ålesund tiene un claro enfoque práctico para la gestión de riesgos en una perspectiva digital. También se incluye como parte del máster en gestión marítima operativa.
«Es importante que las empresas del sector marítimo se familiaricen con sus valores, las amenazas digitales y las vulnerabilidades que tienen. Los gerentes deben conocer a sus empleados que manejarán las amenazas digitales y comprender las necesidades de competencia que tienen en seguridad digital,» él dice.
El próximo curso de Seguridad Marítima Digital está previsto para otoño de este año. La oferta se adaptará entonces en mayor medida a directivos, mandos intermedios, personal operativo (vela) y administrativo del sector marítimo, pero también será de gran utilidad para otras industrias.
Consejos de seguridad en el mar
La industria marítima debe concienciar de lo que se arriesga al no prevenir. He aquí algunos consejos generales:
Lista de verificación a nivel individual a bordo:
- Instale las actualizaciones de seguridad tan pronto como lleguen y automáticamente tanto como sea posible.
- No asigne derechos de administrador a los usuarios finales.
- No permita el uso de contraseñas débiles. Introducir, cuando sea posible, que los usuarios demuestren su identidad a través de procedimientos de seguridad y aprobación de múltiples etapas (autenticación de múltiples factores).
- Eliminar gradualmente los productos TIC más antiguos.
- No permita nada más que software que haya sido aprobado por la empresa o el proveedor de la unidad.
Lista de verificación a nivel de sistema a bordo y en tierra:
- Introducir un sistema de autenticación y autorización de los usuarios a la información necesaria.
- Introducir la protección de todos los datos en el nivel adecuado en función de la confidencialidad de la información.
- Introducir acceso controlado para los usuarios de TI a bordo y en tierra, de modo que cada individuo solo tenga acceso y derechos a la información para la que está autorizado.
- Introducir una comunicación controlada entre el barco y la costa con la seguridad en el centro.
- Introducir un plan de respuesta para incidentes cibernéticos basado en evaluaciones de riesgo exhaustivas.
Las opiniones expresadas aquí son del autor y no necesariamente las de The Maritime Executive.
