Ciberseguridad marítima: amenazas y desafíos
Digital Ship, una publicación marítima comercial, ha presentado una actualización sobre el panorama de la ciberseguridad marina que cubre amenazas potenciales, errores que cometen las compañías navieras y vulnerabilidades que se explotan con frecuencia.
En su reciente seminario web «Amenazas y métodos de mitigación de la ciberseguridad marítima», celebrado el 5 de marzo, Digital Ship desglosó las amenazas y los desafíos que enfrenta la industria marítima con los ciberataques.
Jacek Walaszczyk, EY Polska, OT/IoT Security Hub, gerente sénior, analizó tres ciberataques importantes en el sector marítimo que se han producido en los últimos siete años.
En 2017, AP Moller – Maersk (Maersk) experimentó un ataque de ransomware que supuestamente les costó entre 250 y 350 millones de dólares .
Cuatro años después, en agosto de 2021, el Puerto de Houston fue objeto de un ataque de ciberseguridad que aprovechó una debilidad en una plataforma de software utilizada para la gestión de contraseñas y el inicio de sesión único (SSO) .
Walaszczyk agregó que menos de un año después, en junio de 2022, la instalación de Freeport LNG en Texas sufrió una explosión que generó especulaciones durante meses sobre la causa raíz.
Según Walaszczyk, la Administración de Seguridad de Materiales Peligrosos y Oleoductos (PHMSA) identificó deficiencias en los métodos de prueba de válvulas, así como la imposibilidad de restablecer las alarmas que notificarían a los operadores sobre el aumento de temperaturas durante las operaciones y procedimientos.
Walaszcyk explicó en detalle el tipo de intrusiones más experimentado, comparando los años 2020 con 2023 en un estudio de caso.
En 2023, el panorama de amenazas aumentó y el software malicioso (Malware) siguió siendo la intrusión en los sistemas más comúnmente detectada.
Además, la cantidad de ataques basados en ransomware creció, ya que los piratas informáticos vieron esto como una forma eficaz de obtener beneficios.
El estudio también descubrió que el phishing es la ruta de acceso más común a las redes y sistemas de las organizaciones marítimas, y que las tácticas de influencia psicológica son cada vez más avanzadas.
Walaszczyk señaló que los sectores que utilizan infraestructura crítica tienen tiempos mucho más cortos para detectar y contener violaciones de datos que el resto de la industria debido a regulaciones adicionales.
Las infracciones maliciosas tardaron más en descubrirse y contenerse que cualquier otra causa raíz, lo que tuvo como resultado un impacto a largo plazo mucho más grave en las organizaciones marinas.
Walaszczyk también destacó que el cableado de red en serie no es el enfoque ideal para transmitir datos de tecnología operativa (OT) alrededor de un barco, y la seguridad del convertidor debe reforzarse con contraseñas de administración para evitar amenazas a la seguridad.
Magdalena Wrzosek, directora de consultoría tecnológica de EY Polonia, OT/IoT Cybersecurity Hub, enfatizó la importancia de la Directiva NIS 2, una legislación de ciberseguridad a nivel de la UE.
Señaló que las infracciones de la Directiva NIS2 se castigan con una multa administrativa de al menos 10 millones de euros (10,8 millones de dólares) o un máximo de al menos el 2 por ciento del volumen de negocios anual total en el ejercicio financiero anterior de la empresa a la que pertenecen los esenciales. pertenece la entidad.
Wrzosek continuó describiendo las estrategias críticas de gestión de riesgos de ciberseguridad de NIS 2 que todas las principales empresas marítimas deben implementar.
Estas medidas incluyen formación básica en ciberseguridad, seguridad de los recursos humanos, políticas de seguridad de los sistemas de información y el uso de soluciones de autenticación multifactor o autenticación continua.
La Directiva NIS 2 establece dos obligaciones principales de notificación de un incidente grave:
Algo que ha causado o tiene el potencial de crear graves interrupciones operativas o pérdidas financieras para una empresa.
Algo que haya perjudicado o tenga el potencial de afectar a otras personas físicas o jurídicas generando daños materiales o inmateriales importantes.
En caso de un incidente grave, las empresas deberán proporcionar un aviso inicial dentro de las 24 horas, una notificación detallada del incidente dentro de las 72 horas y un informe intermedio y de progreso.
Las organizaciones deben producir un informe final dentro de un mes que incluya una descripción detallada del evento, su gravedad y efecto, el tipo de amenaza o causa raíz que probablemente causó el incidente y cualquier medida de mitigación que se haya implementado y esté en curso.
Wrzosek reveló que en octubre de 2024 se implementaría una nueva legislación sobre ciberseguridad que exigiría a los Estados miembros incorporar los términos de la Directiva NIS2 en sus leyes nacionales.
Cuando se le preguntó si la ciberseguridad marítima es posible, Jacek Walaszczyk respondió: “Sin duda, pero no es barato. Siempre requiere algo de esfuerzo y luego presupuesto no sólo para implementar todos los controles de seguridad sino también para mantenerlos.
“Vale la pena emprender el viaje, ya que la ciberseguridad es siempre un viaje continuo. Siempre hay algo que mejorar”.
Recientemente, la Administración Biden anunció que emitiría una Orden Ejecutiva para mejorar la ciberseguridad portuaria en EE.UU.
