運(yùn)輸環(huán)境擁堵不堪，能見度受限，可控性不足，進(jìn)港船只密集，這些都是港口危害的成因。據(jù)統(tǒng)計(jì)，42%的歐盟船舶事故(傷亡/船舶損失)都發(fā)生在港口區(qū)域，44%的作業(yè)船傷亡事故發(fā)生在拖輪上。自主航運(yùn)可以帶來許多益處，包括將船員從危險(xiǎn)、繁復(fù)的工作中解放出來，提高船舶安全性。然而，隨著網(wǎng)絡(luò)安全不斷威脅著各行各業(yè)，這項(xiàng)新生的技術(shù)也成了一個(gè)龐大的攻擊對(duì)象。如果說自主航行船舶是海運(yùn)行業(yè)的未來，那么網(wǎng)絡(luò)威脅就是它的阿喀琉斯之踵。
羅羅公司已經(jīng)推出了一艘自動(dòng)化拖輪，系統(tǒng)供應(yīng)商瓦錫蘭正在測(cè)試自動(dòng)化靠泊解決方案，在這兩項(xiàng)設(shè)計(jì)中，網(wǎng)絡(luò)安全都是不可分割的一部分。西英格蘭保賠協(xié)會(huì)(West of England P&I)資深承保人Chris South指出，以下4種因素推動(dòng)了海事業(yè)網(wǎng)絡(luò)安全需求：
● 自動(dòng)化——機(jī)械越來越受軟件控制；
● 一體化——多種船上系統(tǒng)形成互聯(lián)；
● 遠(yuǎn)程監(jiān)控——企業(yè)陸上辦公室運(yùn)用船-岸通訊持續(xù)監(jiān)控船上設(shè)備；
● 所有系統(tǒng)都已連網(wǎng)。
網(wǎng)絡(luò)攻擊帶來極大風(fēng)險(xiǎn)
一旦上述系統(tǒng)發(fā)生故障或者網(wǎng)絡(luò)安全管理不當(dāng)，船東、港口運(yùn)營商以及他們的保險(xiǎn)公司就會(huì)面臨極大的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)就是潛在的損失(即來自于網(wǎng)絡(luò)攻擊)，它們不僅存在于辦公室環(huán)境，而且也會(huì)影響船舶公司所使用的實(shí)體資產(chǎn)。針對(duì)實(shí)體資產(chǎn)的攻擊并非沒有先例。2015年，烏克蘭電網(wǎng)遭遇網(wǎng)絡(luò)攻擊導(dǎo)致22.5萬人失去電力供應(yīng)。船舶網(wǎng)絡(luò)安全攻擊也會(huì)利用船舶的分布式控制系統(tǒng)與發(fā)動(dòng)機(jī)形成交互，或者利用港口自動(dòng)化吊車移動(dòng)貨物，其他脆弱的系統(tǒng)也容易受到攻擊。
網(wǎng)絡(luò)攻擊造成的損害可能影響公司的聲譽(yù)的品牌形象，干擾公司業(yè)務(wù)，從生理上傷害員工或者引發(fā)財(cái)務(wù)和法律后果。將網(wǎng)絡(luò)犯罪(在IT基礎(chǔ)設(shè)施上實(shí)施的犯罪活動(dòng))相關(guān)的直接、間接和機(jī)會(huì)成本都考慮在內(nèi)，咨詢公司Accenture表示企業(yè)或機(jī)構(gòu)由此遭受的平均損失高達(dá)1300萬美元。如果攻擊造成了人員傷亡，損失代價(jià)就會(huì)更大。
在考慮這些風(fēng)險(xiǎn)時(shí)，企業(yè)管理層會(huì)思考哪里可能出問題、網(wǎng)絡(luò)攻擊發(fā)生的可能性、攻擊造成的影響以及采取何種措施減輕或者將攻擊發(fā)生的可能性和造成的影響降到最低。不幸的是，有太多管理人員過度自信或者錯(cuò)誤地判斷了自己的減災(zāi)能力。網(wǎng)絡(luò)安全處理不當(dāng)就會(huì)后患無窮，因此，具有風(fēng)險(xiǎn)規(guī)避意識(shí)并且謹(jǐn)慎的公司通常會(huì)雇傭外部網(wǎng)絡(luò)安全專家來給他們的策略把關(guān)，或者幫助他們確定安全目標(biāo)狀態(tài)。這些錢花的很值。
哪些系統(tǒng)易受攻擊？
人為失誤是海上安全事故的主要成因。船舶可控性因素具有負(fù)面效應(yīng)，但卻不是事故誘因。大部分情況下出錯(cuò)的都是人。自主航運(yùn)能夠減輕人為失誤的風(fēng)險(xiǎn)，但是船舶的自動(dòng)化系統(tǒng)也可能會(huì)遭到網(wǎng)絡(luò)攻擊，進(jìn)而操縱航行、轉(zhuǎn)向或者推進(jìn)系統(tǒng)。由此帶來的后果非常嚴(yán)峻——船舶碰撞、擱淺，導(dǎo)致航道無法通行。事實(shí)證明，自主航運(yùn)所涉及的三種航行系統(tǒng)相當(dāng)脆弱：
● 全球?qū)Ш叫l(wèi)星系統(tǒng)(GNSS)，該系統(tǒng)能夠提供準(zhǔn)確的船舶定位，但也可能受到操縱欺騙船員變更航線；
● 電子海圖顯示與信息系統(tǒng)(ECDIS)，該系統(tǒng)能夠以數(shù)字化的形式存儲(chǔ)海圖和航線信息，但是如果遭到黑客攻擊并且接收了虛假信息就會(huì)導(dǎo)致船員制定出錯(cuò)誤的路線；
● 船舶自動(dòng)識(shí)別系統(tǒng)(AIS)，該系統(tǒng)能夠監(jiān)控附近交通狀況防止船舶碰撞，但也可能遭到攔截，接收虛假船舶信息(位置、動(dòng)向或者身份)。
GNSS欺騙攻擊已經(jīng)十分常見。2013年，得克薩斯大學(xué)的一組研究人員演示了一例GNSS欺騙事件，他們僅用了一個(gè)價(jià)值3000美元的GPS欺騙攻擊系統(tǒng)、一個(gè)小型天線還有一臺(tái)筆記本電腦就使一艘8000萬美元的私人游艇偏離了航線。船舶位置變了，但是海圖顯示的、船員看到的僅僅是一條直線。
其他系統(tǒng)也面臨著風(fēng)險(xiǎn)。國際航運(yùn)公會(huì)(ICS)列出了以下容易受到利用的船上系統(tǒng)：
● 貨物管理系統(tǒng)，用于控制貨物且有可能連接港口碼頭系統(tǒng)；
● 船舶駕駛臺(tái)系統(tǒng)，用于航行以及推進(jìn)控制；
● 推進(jìn)和機(jī)械管理以及電力控制系統(tǒng)，用于監(jiān)測(cè)和控制船上機(jī)械、推進(jìn)和轉(zhuǎn)向；
● 訪問控制系統(tǒng)，用于保護(hù)船舶和貨物實(shí)體安全，還用于船舶監(jiān)視和報(bào)警系統(tǒng)；
● 乘客服務(wù)與管理系統(tǒng)，用于管理有價(jià)值的乘客數(shù)據(jù)；
● 面向乘客的公用網(wǎng)絡(luò)，接入互聯(lián)網(wǎng)供乘客使用；
● 行政和船員福利系統(tǒng)，用于網(wǎng)絡(luò)訪問和郵件應(yīng)用；
● 通訊系統(tǒng)，通過衛(wèi)星/無線通訊進(jìn)行網(wǎng)絡(luò)連通。
這些系統(tǒng)如果暴露在不受控制的網(wǎng)絡(luò)中或者直接接入互聯(lián)網(wǎng)，危險(xiǎn)就會(huì)發(fā)生。如果把船舶IT系統(tǒng)和操作設(shè)備都連接成網(wǎng)絡(luò)，然后又把它們都接入互聯(lián)網(wǎng)以供岸上監(jiān)控，就會(huì)增加船舶的脆弱性。即便是最關(guān)鍵的船上系統(tǒng)也逃不脫黑客的訪問。因?yàn)椴僮骷夹g(shù)(OT)與關(guān)鍵、敏感的設(shè)備和進(jìn)程都有交互，因此它需要特殊的安全考慮。
在任何情況下，操作技術(shù)都不應(yīng)該有直接的網(wǎng)絡(luò)訪問，包括用于自主控制的系統(tǒng)。
操作技術(shù)系統(tǒng)有專門的網(wǎng)絡(luò)安全指南，例如NIST 800-82，這是專為工業(yè)控制系統(tǒng)制定的安全框架。可惜的是，海事企業(yè)的網(wǎng)絡(luò)意識(shí)和網(wǎng)絡(luò)安保能力一直不高。不過，即便在網(wǎng)絡(luò)安全方面達(dá)到了“平均”水平也是不夠的。畢竟危險(xiǎn)太大了。
網(wǎng)絡(luò)安全專家一致認(rèn)為對(duì)抗網(wǎng)絡(luò)入侵和破壞的最好做法就是在多層防御中構(gòu)筑多種安全防御屏障。雖然沒有什么能確保免疫，但是采用Zero Trust安全模式能夠顯著降低風(fēng)險(xiǎn)。這是一種基于“絕不信任任何連接，對(duì)每一個(gè)連接都要嚴(yán)格驗(yàn)證”的概念的安全模式。
監(jiān)管機(jī)構(gòu)應(yīng)該扮演什么角色？
面對(duì)網(wǎng)絡(luò)安全問題，監(jiān)管機(jī)構(gòu)應(yīng)當(dāng)發(fā)揮積極作用。歐盟的《通用數(shù)據(jù)保護(hù)條例》(GDPR)賦予了監(jiān)管人員跨領(lǐng)土的權(quán)限，他們能夠?qū)`反歐盟公民數(shù)據(jù)隱私的企業(yè)處以年度全球營業(yè)額4%或者2000萬歐元的罰款。國際海事組織(IMO)正在探索如何在其法規(guī)框架內(nèi)解決自主航運(yùn)相關(guān)的問題。一場(chǎng)針對(duì)海運(yùn)業(yè)的網(wǎng)絡(luò)攻擊可能會(huì)激起眾多監(jiān)管機(jī)構(gòu)的怒火。
一些船舶利益相關(guān)方也在構(gòu)建基于云端的自主航運(yùn)平臺(tái)。許多岸上行業(yè)已經(jīng)加入了云端，但需要提醒的是：將應(yīng)用遷移到云端也會(huì)增加安全復(fù)雜性，新的威脅也會(huì)隨之出現(xiàn)。
一個(gè)AWS應(yīng)用程序防火墻配置不安全就導(dǎo)致內(nèi)部人員從一家大銀行盜取了1.06億個(gè)人記錄。細(xì)節(jié)決定成敗。在網(wǎng)絡(luò)安全方面，正確地掌握細(xì)節(jié)是必不可少的一步。
網(wǎng)絡(luò)安全不僅僅是一種防御手段，它還能促進(jìn)業(yè)務(wù)發(fā)展，增強(qiáng)企業(yè)聲譽(yù)，提高客戶和合作伙伴的忠誠度和信任。如果一項(xiàng)設(shè)計(jì)融合了網(wǎng)絡(luò)安全措施，它的競(jìng)爭力就會(huì)大大增加。William Saito在將網(wǎng)絡(luò)安全比作日本子彈列車的制動(dòng)器時(shí)說得非常好——?jiǎng)x車決定了速度?！皠x車的存在不是為了拖累子彈列車的表現(xiàn)，有了它們，子彈列車才能比傳統(tǒng)列車行駛得更快，因?yàn)樗鼈冏屃熊囁緳C(jī)得以控制速度。要是真想跑得快，你就需要有上好的剎車?！?/p>
