Alternate Text
اینجا محل تبلیغ شماست
مقالات مرتبط
۱۳۹۹/۰۴/۳۱    ۱۰:۰ کد خبر:990431078992
مسئولیت‌های خطوط کشتیرانی و صاحبان پرچم
عملیات سایبری همچنان تهدیدی برای صنعت کشتیرانی؛

مسئولیت‌های خطوط کشتیرانی و صاحبان پرچم

کاربرد روزافزون سیستم‌های دیجیتالی، اتوماسیون‌ها و سیستم‌های تحت وب یکپارچه باعث تولد مدیریت خطرات سایبری شده است.
کاپیتان آرش شوق‌نیان
 
 
 
کاربرد روزافزون سیستم‌های دیجیتالی، اتوماسیون‌ها و سیستم‌های تحت وب یکپارچه باعث تولد مدیریت خطرات سایبری شده است. با توسعه و پیشرفت تکنولوژی مخصوصاً در حوزۀ فنّاوری اطلاعات و فنّاوری عملیاتی، استفاده از اینترنت و سیستم‌های تحت وب روزبه‌روز افزایش یافته که نتیجۀ آن افزایش ریسک حملات سایبری و حک شدن سیستم‌های شبکه‌ای و عملیاتی کشتی‌ها در نقطۀ مقابل مزایای استفاده از سیستم‌های دیجیتالی خواهد بود.
واضح است که هرچه استفاده و فراگیری سیستم‌های ذکر شده افزایش یابد خطرات و ریسک‌های مربوطه اجتناب‌ناپذیر خواهد بود، در این مسیر باید دستورالعمل‌ها، الگوها و راه‌حل‌های احتمالی بهترین و مؤثرترین آنها در جهت محافظت از سیستم‌ها و مقابله با خطرات یاد شده مشخص شود. همچنین خطرات احتمالی از طریق دسترسی کارکنان به سیستم‌های شبکۀ کشتی و استفاده از حافظه‌های شخصی باید به‌صورت جدی در نظر گرفته شود.
در این ارتباط سازمان جهانی دریانوردی(IMO) نسبت به این موضوع اهمیت نشان داد و به بررسی موارد زیر پرداخت:
- در سال 2016 مجموع دستورالعمل‌هایی به‌صورت توصیه‌های کاربردی (MSC.FAL/CIR.3) توسط سازمان جهانی بین‌المللی در خصوص مدیریت خطرات سایبری منتشر شد.
- به‌دنبال آن در ژوئن سال 2017 کمیتۀ ایمنی سازمان جهانی دریانوردی قطعنامه‌ای را تحت عنوان (MSC428/98) تهدیدات و خطرات سایبری که ممکن است ایمنی و امنیت کارکنان کشتی‌ها را تحت‌الشعاع قرار دهد به تصویب برساند. در هر دو مورد هدف از اجرای مدیریت سایبری " ایمنی در عملیات کشتی‌ها و محافظت از محیط‌زیست" عنوان شده است.
براساس این قطعنامه، مقرر شده که شاکله و تصویر کلی آن در مدیریت ایمنی کشتی‌ها "بخش9" SOLAS و همچنین قسمت “A” دستورالعمل امنیتی ISPS)) اضافه شود. مالکان کشتی‌ها باید اصلاحیه‌هایی در بخش سیستم مدیریت و برنامۀ امنیتی کشتی‌ها اعمال کنند. کلیۀ اصلاحیه‌ها، الحاقات و سایر موارد مورد نیاز در اولین دورۀ سالانه بعداز ژانویۀ 2021 در جهت بررسی گواهی‌نامۀ تطبیقی ISM ( که Document Of Compliance: DOC نامیده می‌شود) که باید مورد تأیید طرف صاحبان پرچم قرار گیرد.
-بررسی موارد مطرح شده در دستورالعمل‌ها و قطعنامۀ سایبری
-بررسی دوباره و کلی موارد مطرح شده در دستورالعمل مدیریت ایمنی ISM
- ایجاد ارتباط و وابستگی بین سیستم مدیریت ایمنی و مدیریت خطرات سایبری در راستای اجرای مؤثر و صحیح مدیریت سایبر.
- تعیین و تعریف تهدیدات از جمله تهدیدهای خرابکارانه و عمدی و تهدیدهای غیرعمدی که ممکن است در هنگام به ‌روزرسانی سیستم‌ها، نرم‌افزارها و یا در جهت دسترسی کاربران ایجاد شود.
- مسئولیت صاحبان پرچم در قبال نظارت بر اجرای درست و تعیین خطرات سایبری و الحاق آن به مدیریت سیستم ایمنی.
- معرفی پنج اصل اساسی که باید در خطرات سایبری در نظر گرفته شود(IPDR2) که تعیین خطرات و تهدیدها، محافظت از سیستم‌ها، تشخیص خطرات، واکنش درجهت مقابله با خطرات و در نهایت بازگردانی سیستم به حالت اولیه را شامل می‌شود که در ادامه به صورت کلی مورد بحث و بررسی قرار گرفته است.
- برقراری پیوند و ارتباط بین دستورا‌لعمل‌های مدیریت ایمنی و مدیریت امنیتی کشتی با هدف اجرای صحیح مدیریت سایبری با توجه به راهکارهای پیشنهادی(IPDR2) و همچنین تدوین برنامه‌ها و دستورالعمل‌های مورد نیاز با توجه به راهکارهای تخصصی و فنی برای حوزه‌های تکنولوژی اطلاعات (IT) تکنولوژی عملیاتی (OT) و زیرساخت‌های شبکه و وب.
وظایف مالکان شناورها و صاحبان پرچم
 
- از دیدگاه ISPS، مالکان کشتی‌ها موظفند راهکارهای مناسب را در خصوص تعیین و ارزیابی تهدیدات، جلوگیری از وقوع آنها، محافظت و مقابله را به‌طور کامل در نظر گرفته و در اجرای آن با توجه به راه‌حل‌های ارائه شده در قسمت A وB این دستورالعمل، برنامۀ امنیتی کشتی‌ها را به ‌روزرسانی کنند لازم به‌ذکر است این قسمت بیشتر بر روی تهدیدات با منشاء خارجی، اعمال خرابکارانه، عمدی و همچنین امنیت فیزیکی متمرکز است.
- تبیین نظام ساختاری در جهت شناسایی ضعف‌ها و اشکالات سیستمی برای اجرای مدیریت سایبری و رفع موانع و از بین بردن آنها.
- شناسایی موارد الحاقی به دستورالعمل‌های مدیریت ایمنی و برنامۀ امنیتی کشتی، تهیۀ گزارش در خصوص توسعه و اجرای مدیریت سایبری به نحوی که تناقصی وجود نداشته باشد.
- اقدام به انجام پیگیری‌ها و تعامل با یکدیگر در جهت اعمال تغییرات جهت تأیید نهایی از طرف صاحبان پرچم.
مدیریت سایبری و بازرسی‌های بندری
علاوه بر در نظر گرفتن گواهی‌نامۀ تطبیق شرکت‌ها(DOC)، اجرای صحیح مدیریت سایبری و اعمال آن در سیستم مدیریت ایمنی کشتی توسط بازرسان بنادر به‌طور دقیق و براساس دستورالعمل‌های صادره توسط سازمان جهانی دریانوردی بررسی خواهد شد.
تمایز مدیریت ایمنی و امنیتی سایبری
از لحاظ اهمیت و وجۀ کاربردی باید گفت که هر کدام به نوبۀ خود باید به‌صورت جداگانه مورد توجه خاص قرار گیرند به‌طوری که پتانسیل موجود در خصوص تهدیدات بالقوه به‌صورت دسته‌بندی شده مورد مطالعه قرار گیرد.
معمولاً امنیت سایبری به محافظت و حراست از تکنولوژی اطلاعاتی (IT) و عملیات سازمان(OT)، دسته‌بندی اطلاعاتی، دسته‌بندی کاربران از لحاظ دسترسی به اطلاعات و دست‌کاری و خراب‌کاری اطلاعاتی اطلاق می‌شود.
ایمنی سایبری به‌طور کلی به خطرات احتمالی ناشی از، از دست دادن اطلاعات، دسترسی به اطلاعات و یکپارچگی آن می‌پردازد. همچنین ایمنی اطلاعات مدیریتی و اصلی هر سازمان در این جرگه قرار می‌گیرد. به‌طور خلاصه تهدیدات سایبری که در مبحث ایمنی کارکنان و کشتی‌ها باید مورد مطالعه قرارگیرند عبارتند از:
1- تهدیدات و خطرات امنیتی سایبری که اثر مستقیم به دسترسی و یکپارچگی اطلاعات و عملیات کشتی‌ها دارد به‌عنوان مثال دست‌کاری یا اشکال اطلاعاتی در دستگاه چارت الکترونیکی (ECDIS).
2- هرگونه خرابی و یا تهدید سایبری که در موقع به ‌روزرسانی نرم‌افزارها و سیستم‌ها، بهبود فرایندها و ارتقاء سیستم‌ها به‌وجود آید.
3- از دست دادن اطلاعات، دست‌کاری و یا خراب‌کاری اطلاعاتی توسط منشاء خارجی.
شناسایی نقاط آسیب‌پذیر
امروزه فنّاوری سایبری از این لحاظ مهم به‌نظر می‌رسد که از طریق اعمال آن بتوان ایمنی پرسنل، ایمنی عملیات کشتی‌ها و محافظت از محیط‌زیست‌ها را تأمین کرد. در این خصوص شناسایی قسمت‌های آسیب‌پذیر بسیار ضروری به‌نظر می‌رسد و در پی آن دستورالعمل‌های جداگانه و روش‌های محافظتی منحصر بکار گرفته شود. به‌طور کلی قسمت‌های آسیب‌پذیر را می‌توان تحت‌عنوان کلیۀ سیستم‌های اطلاعاتی از مقدماتی تا پیشرفته، سیستم‌های ناوبری و کمک‌ناوبری، کنترل ماشین‌آلات و ... نام‌گذاری کرد و به‌صورت ذیل دسته‌بندی نمود. بدیهی است قسمت‌های نفوذ‌پذیر فقط به موارد ذیل محدود نخواهد شد.
1- سیستم‌های موجود در پل فرماندهی؛
2- کلیۀ سیستم‌های مدیریتی؛
3- سیستم‌های تخلیه و بارگیری کالا؛
4- سیستم‌های کنترلی موتورخانه، کنترل ماشین‌آلات؛
5- سیستم کنترل ورود به کشتی، سیستم ثبت ورود و شناسایی؛
6- سیستم‌های مربوط به کنترل مسافران و سرویس‌دهی؛
7- کلیۀ سیستم‌های ارتباطی؛
8- سیستم‌های اداری و اجرایی موجود؛
9- سیستم‌های کامپیوتری موجود در اماکن عمومی از جمله سالن ملوانان و افسران.
چارچوب مدیریت تهدیدات سایبری
استخوان‌بندی و شاکلۀ مدیریت سایبری در دستورالعمل مدیریت ایمنی (ISM Code) تدوین شده است به‌صورتی‌که در این بخش به‌جای بحث و بررسی تک‌به‌تک موضوعات سعی بر این شده است که ساختار کلی و مورد نیازی را تبیین کند که بتواند طیف گستردۀ موارد لازم را در بر گیرد از جمله:
- تعهد و التزام درون‌سازمانی برای تبیین راهکارهای مدیریت سایبری؛
- خط‌مشی ایمنی و محافظت از محیط‌زیست براساس مطالعۀ خطرات و تهدیدات به‌صورت جامع و کامل؛
- دستورالعمل‌های تعیین شده برای مواقع عادی و اضطراری به‌صورت سند و مکتوب؛
- تعیین روش‌های ممیزی در جهت اطمینان از دستورالعمل‌های وضع شده؛
- بررسی نقاط ضعف و نفوذپذیری سیستم در حالت اجرایی؛
- برقراری ارتباط منظم با مسئول تعیین شده در خشکی در راستای اجرای صحیح سیستم.
آگاهی سایبری، آموزش، تغییر رفتار و الگوها و آناتومی سایبری
دانستن همیشه می‌تواند جلوی خسارت‌های فراوان را بگیرد. این موضوع در دنیای مجازی نیز صدق می‌کند. در بیشتر موارد مشخص شده است که عدم‌آگاهی کاربران از خطرات مرتبط با حوزۀ سایبر باعث ایجاد خسارت‌های سنگین مالی، هتک حیثیت و ... می‌شود.
ارزیابی تهدیدات، مطالعه دربارۀ خطرات و استفاده از دانش فنی برای جلوگیری و مصون نگه‌داشتن سیستم‌ها جزء جداناشدنی از مدیریت ایمنی خشکی و دریا می‌باشند. برای دستیابی به اهداف ذکر شده در مدیریت سایبری و پیشرفت در علم سایبری، آموزش کارکنان اعم از خشکی و دریا، شرط جداناپذیری برای شروع و موفقیت در مدیریت سایبری است. به‌خصوص برای افسران ارشد کشتی‌ها، مهندسان ناظر و سایر کارکنان شرکت. در این خصوص آموزش و آگاهی مدیران ارشد در وهلۀ اول و سایر کارکنان براساس سطح دسترسی به اطلاعات ضروری می‌باشد. همچنین آشنایی کارکنان کشتی با فرمت ایمیل‌های اسپم، سطح کاربری و نحوۀ استفاده از حافظه‌های جانبی و مشخصی باید در دستور کار قرار گیرد. به‌علاوه آموزش لازم در خصوص انواع خطرات و حملات سایبری باید اعمال شود که برخی از آنها عبارتند از : فیشینگ، استفاده از بدافزارها(تروجان)، مسمومیت DNS، کی‌لاگینگ، سرقت کوکی‌ها، امتحان کردن و کشف رمز عبور (Brute Force)، استراق سمع، تزریق SQL، XML و ... این آگاهی باید به کارکنان داده شود که تهدید سایبری ممکن است از طرف یکی از شرکت‌های طرف قرارداد و تدارک‌کننده و ... و یا حتی نمایندۀ بندری که به‌طور کامل برای ما شناخته شده هستند انجام شود حال به‌صورت ناخواسته یا به‌صورت استفادۀ ابزاری از طرف منبع تهدیدکننده همچنین آشنایی با مراحل مختلف و نحوۀ عملکرد در حملات باید به‌طور کامل مورد مطالعه قرار داده شود.
آناتومی یک حملۀ سایبری عبارت است از:
- شناسایی هدف؛
- جمع‌آوری اطلاعات؛
- انجام حملۀ سایبری؛
- تحقیق و بررسی.
عناصر اصلی در مدیریت سایبری
به‌طور کلی پنج اصل اساسی در انجام مدیریت سایبری (IPDR2) عبارتند از:
1- تعیین Identify: تعریف کردن نقش کارکنان، مسئولیت‌ها، آموزش، دسته‌بندی و مشخص کردن سیستم‌ها، دارایی‌ها، اطلاعات و توانایی‌ها که می‌تواند تحت تأثیر حملات سایبری قرار بگیرد و عملیات کشتی را به‌خطر بیاندازد.
2- محافظت Protect: شامل ارزیابی تهدیدات، اجرای دستورالعمل‌ها و برنامه‌های وضع شده، تبیین راهکارهایی به‌صورت پیش‌فرض در جهت محافظت از سیستم‌ها، شبکه و عملیات ایمنی کشتی‌ها می‌باشد.
3- تشخیص و شناسایی Detect: هم‌زمان با اجرای راهکارها، انجام عملیات مربوطه و درنظرگرفتن توسعه و ارتقاء سیستم و رفع نقاط منفی سعی در تشخیص به موقع تهدیدات سایبری داشته باشیم.
4- واکنش Respond: به‌مجموع واکنش‌هایی اطلاق می‌شود که در جهت مقابله با تهدیدات سایبری اعمال می‌شود. با اطمینان از به‌روز بودن سیستم‌ها مشتمل بر انعطاف‌پذیری و واکنش‌های ارتجاعی و فنی می‌شود.
5- بازگردانی Recover: مجموعاً به راهکارهایی گفته می‌شوند که می‌تواند سیستم را به حالت قبل از حملۀ سایبری بازگرداند از جمله سیستم‌های پشتیبانی، جایگزین و ... و یا قابلیت ترمیم سیستم با هدف اینکه اطلاعات سیستم قابل بازیابی باشد.
پوشش مسئولیت‌های سایبری
همان‌طور که می‌دانیم پوشش‌های کلوپ "P&I" شامل خطرات جنگی و حملات سایبری نمی‌شود بنابراین توصیه می‌شود در این خصوص هماهنگی‌های لازم با کلوپ انجام شود و پوشش‌های اضافی مورد نیاز در مقابل شکایت و دعوی شخص ثالث مرتفع شود.
سخن پایانی
صرف‌نظر از دنیای حقیقی یا مجازی، همیشه ما با خطرات و تهدیدات گوناگون رو‌به‌رو هستیم که در هر صورت احتمال وقوع آنها وجود دارد. بنابراین با مطالعه و ارزیابی صحیح از موقعیت‌های مختلف و ساختن سناریوهای مرتبط می‌توانیم آمادگی مجموعه را در مقابل تهدیدات سایبری حفظ کنیم. از آنجا که بیشتر این تهدیدات پیش‌بینی نشده‌اند توصیه می‌شود هرچه سریع‌تر نسبت به اعمال مدیریت سایبری مقدماتی اقدام ورزیم و به بررسی‌های بیشتر در طول اجرای راهکارها و توسعۀ روش‌ها در ادامۀ مسیر بپردازیم.
منابع :
-IMO RESOLUSTION MSC.428(98) MSC 101/4/1 , MSC-FAL.1/CIR.3
- THE GUIDELINES ON CYBER SECURITY ONBOARD SHIPS
Produced and supported by BIMCO , ICS , INTERCARGO , IUMI , OCIMF , INTERTANKO
- ISM TECHNICAL NOTICE 24 PUBLISHED BY INSB CLASS
- CLASS NK APPROACH TO SECURING ONBOARD SYSTEMS

نظرات کاربران
نظر شما ؟
نام
 
آدرس صندوق الکترونیکی
   
نظرات کاربران