MERENKULUN
kyberturvallisuuden ABC
IMO:n alainen Merenkulun turvallisuuskomitea (MSC) on hyväksynyt 98.
istunnossaan merenkulun kyberriskienhallintaa koskevan päätöslauselman,
jonka seurauksena 1.1.2021 jälkeen suoritettaviin DoC-vuosiauditointeihin
mennessä varustamoiden suositellaan valmistelevan kyberriskiensä tarkastelun
aluksillansa osana SMS-turvallisuusjohtamisjärjestelmäänsä. Tarkoituksena
on lisätä kyberriskeihin ja -haavoittuvaisuuksiin liittyvää tietoisuutta
merenkulkusekto rilla ja täten turvata häiriötöntä merenkulkua.
TEKSTI: ESA KALLIO TAUSTAKUVA: PIXABAY
K yberhyökkäykset ovat yksi tämän hetken
kuumimpia keskustelunaiheita läntisessä
mediassa. Uutiset kertovat viikko
toisensa perään, kuinka jälleen jokin
merkittävä yhtiö on joutunut vakavan tietomurron
kohteeksi ja arvokasta informaatiota on
päässyt vääriin käsiin tai tärkeät liiketoimintajärjestelmät
eivät ole olleet käytettävissä.
Viimeisimpänä olemme saaneet kuulla Veikkaus
Oy:n tapauksesta, kun yhtiön verkkosivujen
haavoittuvuutta käytettiin hyväksi taloudellisen
hyödyn hankkimiseksi.
Luonnollisesti merenkulkusektorikaan ei ole
säilynyt ilman hyökkäyksiä. Kyberturvallisuusyhtiö
Naval Domen mukaan alusten OT-puolelle
eli teollisuusautomaatioon kohdistuvien kyberhyökkäysten
määrä on noussut jopa 900%
viimeisten kolmen vuoden aikana.
Oman osansa kyberhyökkäyksistä on maailman
suurimpien varustamoiden CMA CGM:n,
APM-Maersk:n, COSCO:n ja MSC:n lisäksi saanut
myös itse IMO, kun sen verkkosivut joutuivat
iskun kohteeksi syksyllä 2020 estäen niiden
käytön kokonaan. Spekulaation mukaan IMO:n
tapauksessa olisi ollut kyse ns. kiristyshaittaohjelmahyökkäyksestä,
16 SUOMEN MERENKULKU FINLANDS SJÖFART
mutta IMO ei ole astunut
esiin kommentoimaan tapausta yksityiskohtaisesti.
Arvailujen varassa ei kuitenkaan ole se, että
kyberturvallisuuskulttuuri kehittyy sitä paremmaksi,
mitä enemmän myös vastoinkäymisistä ja
läheltä piti -tilanteista jaetaan tietoa avoimesti.
Wärtsilä Voyagen tietoturvajohtaja Päivi
Brunoun mukaan tärkeintä merenkulussa
kyberturvallisuuteen liittyen on alkaa rakentaa
kulttuuria, jossa asioista uskalletaan puhua.
– Tyhmiä kysymyksiä ei ole eikä kyberasioita
ole välttämättä aluksilla tai varustamoiden
konttoreilla helppo huomata. Vaikka menisikin
esimerkiksi klikkaamaan kalasteluviestin
linkkiä, se kannattaa aina ottaa puheeksi,
Brunou avaa.
OT–ELI TEOLLISUUSAUTOMAATIOVERKOT JA
-JÄRJESTELMÄT
Brunoun mukaan alukset eivät enää ole suojeltuja
yksinäisiä saaria eikä tietoturvan puuttuminen
ole vain sitä, että kyberrikollinen pääsee
hakkeroimaan järjestelmiä ja varastamaan
dataa. Tietoturvaongelmia voi syntyä myös
henkilökunnan vahingoista, ja ne ovatkin itse
asiassa yleisempiä kuin ulkopuoliset hyökkäykset.
– Arviolta noin 80% teollisuusautomaation
tietoturvaongelmista on vahinkoja. Eli vahingossa
järjestelmään pääsee jokin haitake, joka
aiheuttaa sen, että esimerkiksi controllerin
muisti täyttyy, ja controller joko sulkee itsensä
tai esimerkiksi hidastuu kriittisesti, Brunou
valottaa.
Aluksilla suurimmat uhkakuvat kohdistuvat
operointiin ja aluksen kulkuun liittyviin järjestelmiin,
jotka on rakennettu OT-verkoiksi (Operational
Technology) perinteisten IT-verkkojen
(Information Technology) rinnalle, mutta
enenevissä määrin myös integroitu osaksi niitä.
IT- ja OT-järjestelmien yhdentyminen aluksissa ja
niiden yhteydet internetiin lisäävät kyberriskejä.
Päivi Brunou,
Head of
Cybersecurity
at Wärtsilä
Voyage.