La ciberseguridad, nueva prioridad en la gestión de los buques
Desde el pasado 1 de enero es obligatorio para los armadores y operadores de buques incluir la gestión de los riesgos cibernéticos en sus sistemas de gestión de la seguridad del buque. El nuevo contexto digital sitúa la ciberseguridad como una nueva prioridad a la que atender en el transporte marítimo para evitar ataques y analizar las razones y el volumen de los mismos.
- 31 enero 2021 01:00
- Última actualización
31 enero 2021 07:20
Las principales asociaciones del sector marítimo han publicado recientemente la cuarta edición, actualizada y mejorada, de las Directrices sobre ciberseguridad a bordo de los buques. Esta nueva versión coincide con la entrada en vigor, el pasado 1 de enero de 2021, de la obligatoriedad para los armadores y operadores de buques de incluir la gestión de los riesgos cibernéticos en sus sistemas de gestión de la seguridad del buque.
Tal y como ha informado la Asociación de Navieros Españoles (ANAVE), esta cuarta versión contiene actualizaciones generales de las mejores prácticas en la gestión de los riesgos cibernéticos e incluye una sección con una orientación revisada sobre el concepto y la gestión del riesgo. Este nuevo modelo considera la amenaza como “producto de capacidad, oportunidad e intención, y explica la probabilidad de un incidente cibernético como producto de vulnerabilidad y amenaza”.
Este nuevo modelo ofrece una explicación de por qué todavía se han producido relativamente pocos incidentes relacionados con la ciberseguridad en el sector marítimo, pero también por qué las compañías navieras no deben bajar la guardia.
Para Dirk Fry, presidente del grupo de trabajo de seguridad cibernética de BIMCO y director de Columbia Ship Management Ltd, “con el aumento de las conexiones de dispositivos y sistemas a internet, se presentarán más oportunidades y surgirán más vulnerabilidades que necesiten protección en el futuro”.
El propósito de estas directrices es mejorar la seguridad de la gente de mar, el medio ambiente, la carga y los barcos. Las directrices tienen como objetivo ayudar en el desarrollo de una estrategia adecuada de gestión del riesgo cibernético de acuerdo con las regulaciones pertinentes y las mejores prácticas a bordo de un barco con un enfoque en los procesos de trabajo, equipos, capacitación, respuesta a incidentes y gestión de recuperación.
Según las directrices, "los rápidos desarrollos dentro de la tecnología de la información, la disponibilidad de datos, la velocidad de procesamiento y transferencia de datos presentan a los armadores y otros actores de la industria marítima mayores posibilidades de optimización operativa, ahorro de costes, mejoras de seguridad y un negocio más sostenible. Sin embargo, estos desarrollos dependen en gran medida de una mayor conectividad a menudo a través de Internet entre servidores, sistemas de TI y sistemas OT1, lo que aumenta las posibles vulnerabilidades y riesgos cibernéticos".
Por qué y cómoLas directrices explican por qué y cómo se deben gestionar los riesgos cibernéticos. Se enumera la documentación de respaldo requerida para realizar una evaluación de riesgos y el proceso de evaluación de riesgos se describe con una explicación del papel que desempeña cada componente del riesgo cibernético. Esta publicación destaca la importancia de evaluar la probabilidad y la amenaza, además del impacto y las vulnerabilidades, al realizar una evaluación de riesgo cibernético. Finalmente, esta publicación ofrece consejos sobre cómo responder y recuperarse de los incidentes cibernéticos.
Los enfoques para la gestión del riesgo cibernético serán específicos de la empresa y el barco, pero deben guiarse por los requisitos de las reglamentaciones y directrices nacionales, internacionales y del estado del pabellón.
En 2017, la Organización Marítima Internacional (OMI) adoptó la resolución MSC.428 (98) sobre Gestión de Ciberriesgos Marítimos en el Sistema de Gestión de la Seguridad (SMS). La resolución establece que un SMS aprobado debe considerar la gestión del riesgo cibernético de acuerdo con los objetivos y requisitos funcionales del Código IGS (Gestión Internacional de la Seguridad). Además, alienta a las administraciones a garantizar que los riesgos cibernéticos se aborden adecuadamente en los SMS a más tardar el 1 de enero de 2021.
Como también se destaca en las directrices de la OMI, la gestión eficaz del riesgo cibernético debe comenzar en el nivel de la alta dirección. "La alta dirección debe incorporar una cultura de gestión del riesgo cibernético en todos los niveles y departamentos de una organización y garantizar un régimen de gobernanza del riesgo cibernético holístico y flexible, que esté en funcionamiento continuo y se evalúe constantemente a través de mecanismos de retroalimentación eficaces", se asegura.