Безопасность киберфизических систем морских активов

Интеграция элементов информационных технологий (IT), операционных технологий (OT) и человеческого фактора в морских активах имеет критическое значение для их эффективной и безопасной эксплуатации и функционирования. Эта интеграция определяет киберфизические системы и включает множество компонентов, систем и функций IT и OT, использующих многочисленные и разнообразные каналы связи, которые развиваются в технологическом и эксплуатационном отношении одновременно с реальными угрозами кибербезопасности. В статье описываются эти угрозы и риски кибербезопасности, а также ряд известных сценариев нарушения безопасности, чтобы показать развитие киберфизических систем в морской сфере и возникающие киберуязвимости. Действующие отраслевые и государственные стандарты и директивы, связанные с кибербезопасностью в морской сфере, направлены на обеспечение соответствия нормативным требованиям и укрепление целостности кибербезопасности активов для их оптимальной и безопасной эксплуатации, однако уделяют ограниченное внимание существующей инфраструктуре и системам OT. Использование инструментов и процессов оценки рисков безопасности, разработанных за пределами морской отрасли, таких как методология оценки рисков безопасности API STD 780 (Security Risk Assessment, SRA) и методология анализа «галстук-бабочка» (Bow-Tie Analysis), может помочь владельцам активов оценить уязвимости IT- и OT-инфраструктуры в отношении кибер- и физической безопасности и определить надлежащие меры снижения рисков, исходя из их сходства с инфраструктурой промышленных систем управления (ICS). Применение средств контроля кибербезопасности, разработанных на основе адаптации рамочной модели кибербезопасности NIST (NIST CSF) и модели угроз MITRE ATT&CK, может дополнительно повысить целостность кибербезопасности морских активов при условии периодической оценки эффективности и применимости этих средств. Наконец, взаимодействие между заинтересованными сторонами, операционная и техническая устойчивость к кибер- и физическим угрозам, а также осведомлённость о кибербезопасности на эксплуатационном уровне могут быть дополнительно повышены для морских активов за счёт объединения раздельных функций физической безопасности и кибербезопасности, а также береговой и морской киберинфраструктуры морских компаний и владельцев активов.