COUNCIL OF INTERMODAL SHIPPING CONSULTANTS ANNO XXXV - Numero 31 DICEMBRE 2017 TRASPORTO MARITTIMO LA VALUTAZIONE DEI RISCHI INFORMATICI DELLA NAVIGAZIONE MARITTIMA Se ne sarà certamente sentito parlare prima e probabilmente se ne avrà avuto abbastanza. Il prefisso "ciber" è onnipresente. Tutto iniziò con "Neuromancer" di William Gibson, sebbene è improbabile che lo si sia letto e questo poco importa. Tuttavia, non si sarà in condizione di restare spensierati per molto tempo ancora, a meno che non si sia deciso di viaggiare indietro nel tempo per navigare solo a vela. Tuttavia, se non lo si è fatto, non si può essere immuni dai rischi informatici della navigazione. Assieme ai rischi tradizionali della navigazione (i cosiddetti rischi d'alto mare), oggi gli esercenti e gli assicuratori debbono preoccuparsi della comparsa di una nuova categoria di rischi che sorgono dalla navigazione marittima: rischi, questi, che sorgono dalla sempre maggiore dipendenza dall'uso dei chips di silicio nelle scatole nere. I rischi informatici sono intrinsechi all'uso dei computer. È raro che un battello, in qualche misura, non dipenda dall'onnipresente tecnologia informatica che trasforma una nave in un potenziale obiettivo vulnerabile agli attacchi informatici. Per un verso, gli attacchi potrebbero essere deliberati - un hacker che tenti di prendere il controllo della nave - oppure, alternativamente, semplicemente il risultato dell'incompetenza: un membro dell'equipaggio che scarica un virus sul computer di bordo per errore. Più il battello o la sua interfaccia portuale sono raffinati, specializzati ed interconnessi, più saranno le opzioni per lo hacker al fine di ottenere l'accesso. La ciberpatologia può solo intensificarsi ulteriormente se consideriamo la crescita che prevedibilmente si verificherà con la navigazione autonoma. Pertanto, non sorprende che BIMCO, INTERCARGO, INTERTANKO, OCIMF, IUMI, CLIA, ICS, DSTL, Guardia Costiera degli Stati Uniti ed IMO abbiano già assunto qualche iniziativa pubblicando guide ed istruzioni in ordine a come si dovrebbe gestire la sicurezza informatica marittima. Alla luce di quanto sopra esposto, in questo articolo lo studio legale Kennedys si propone di: identificare i rischi informatici della navigazione; analizzare brevemente la loro copertura nel mercato delle assicurazioni marittime; studiare l'impatto che la sicurezza informatica potrebbe avere su SOLAS, ISPS e PSC così come i requisiti di idoneità alla navigazione delle navi ai sensi delle polizze di noleggio. Identificazione dei rischi informatici della navigazione Il problema più grosso che si pone quando si devono identificare i potenziali attacchi informatici su una nave è rappresentato dal fatto che, con poche eccezioni, gli esercenti sono riluttanti a renderli pubblici, nascondendo perciò ogni danno finanziario e - più di tutto - proteggendo la propria reputazione (per non menzionare l'intenzione di evitare sanzioni per violazioni della normativa sulla protezione dei dati, quando è il caso). Questa "legge di omertà" ha un effetto deleterio: la comunità del commercio e delle assicurazioni non ha una tradizione di richieste di risarcimento che possa essere utilizzata per valutare il livello del rischio che esiste, con la conseguenza che i rischi informatici vengono esclusi dalle polizze oppure che i premi aumentano. Nondimeno, sono state pubblicate alcune informazioni in ordine ad attacchi cibernetici ai sistemi informatici del settore marittimo-portuale con base a terra, fra cui: nel 2014, una società di trasporti ha depositato una cauzione di 10 milioni di dollari USA pensando che si trattasse del conto dell'armatore della nave; a giugno del 2017, la Maersk e la sua partecipata APM hanno subito perdite sino a 300 milioni di dollari USA a causa del ransomware NotPetya; un terminal container del Porto di Anversa ha subito vari attacchi informatici dal 2011 al 2013 che hanno consentito ai trafficanti di distribuire sostanze stupefacenti impunemente; un fornitore di bunker ha subito una truffa da 18 milioni di dollari USA quando ha risposto ad una falsa ordinazione dell'Agenzia della Difesa degli Stati Uniti per una petroliera situata in Costa d'Avorio. Quale potenziale obiettivo di un attacco informatico, una nave ha vari punti vulnerabili: i suoi sistemi informatici e la tecnologia operativa. Il sistema di tecnologia operativa controlla gli elementi operativi della nave. Il sistema informatico o elettro-meccanico del ponte di comando che controlla, fra gli altri, i sistemi di propulsione, posizionamento, zavorra e manovra fa parte del sistema di tecnologia operativa. L'informatica si riferisce solo alla comunicazione elettronica dei dati, come l'intranet e la posta elettronica a bordo, senza conseguenze, in linea di massima, per le macchine operative della nave. Il sistema di sicurezza del sistema informatico è noto come "sicurezza informatica", mentre il sistema di sicurezza del sistema di tecnologia operativa è noto come "incolumità informatica", sebbene entrambi appartengano al concetto di "sicurezza informatica". Tradizionalmente i sistemi di tecnologia operativa venivano isolati all'interno della nave senza la possibilità di accesso online di modo che ogni rischio potesse provenire solo dai membri dell'equipaggio o da infiltrati non autorizzati che ottenevano l'accesso diretto all'hardware a bordo. Tuttavia, la tendenza è cambiata. Attualmente, è usuale per le navi disporre di sensori multipli che monitorano e controllano in tempo reale il funzionamento delle macchine online e trasmettono le informazioni da remoto per gentile concessione del sistema informatico della nave. In altre parole, i sistemi di tecnologia operativa e di informatica della nave stanno diventando sempre più interconnessi al punto che l'esistenza di una nave senza membri dell'equipaggio (controllata completamente da remoto) è una futura realtà. Naturalmente, quando il sistema di tecnologia operativa e di informatica è accessibile da internet, il rischio di un attacco cibernetico si incrementa in modo esponenziale. Peraltro, per ottenere l'accesso da remoto ai sistemi di tecnologia operativa e di informatica, lo hacker ha bisogno di violare le connessioni satellitari, 4G o Wi-Fi della nave. Sebbene la violazione delle comunicazioni via satellite (ad esempio, il GPS) sia possibile, non si tratta di un processo semplice e richiede un attacco informatico ben finanziato, organizzato e meticoloso, al di là delle possibilità di un semplice "ciberdelinquente". Nondimeno, i comuni delinquenti informatici hanno un compito facile nel piratare la rete 4G o Wi-Fi quando la nave è attraccata in banchina. Quali sono i profili di questo delinquente informatico? Essi spaziano dagli "hacktivisti" che hanno deleteri motivi economici e commerciali agli "hacker etici" che cercano di mettere in evidenza la vulnerabilità dei sistemi tecnologici informatici, dai ricattatori che chiedono un riscatto per disinfestare la nave dal malware alle spie industriali, militari o della concorrenza. Naturalmente, la pirateria informatica avrà una sua logica economica: nessuno perderà tempo a piratare una rete satellitare se non si tratta di conseguire un vantaggio economico proporzionato all'impegno. Una volta che lo hacker ha ottenuto l'accesso alla rete della nave, potrebbero essere commessi varie infrazioni alla normativa sulla protezione dei dati, mettendo allo scoperto le imprese, ad esempio, delle crociere di linea (rispetto ai dati dei passeggeri e dei dipendenti) o delle navi mercantili (rivelando i dettagli degli imbarchi elettronici). Inoltre, gli hacker potrebbero andare oltre ed accedere agli elementi più sensibili dei sistemi informatici della nave. Ci sono stati casi di hacker che sono riusciti ad impedire o falsificare il segnale GPS di una nave oppure per piratare i sistemi AIS ed ECIS che potrebbero comportare conseguenze sulla rotta della nave ed indurre la nave ad aggirarsi in condizioni di scarsa visibilità. Infine, sebbene vari firewall possano impedirlo, il delinquente informatico potrebbe raggiungere il nocciolo duro della nave - i suoi sistemi di tecnologia operativa - e riuscire a prendere il controllo del sistema di posizionamento dinamico, della propulsione, del sistema di zavorra o della manovra della nave. Gli hacker in precedenza erano riusciti a modificare l'ubicazione di una piattaforma petrolifera al largo della costa occidentale africana e, a febbraio del 2017, una portacontainer in rotta da Cipro a Gibuti è stata hackerata per 10 ore, durante le quali il comandante aveva perso il controllo del sistema di manovra. Oltre alla potenzialmente catastrofica natura di tale situazione (blocco del porto, collisioni) potrebbero anche verificarsi conseguenze più modeste per cui gli hacker riescono a far risultare terminato il periodo di noleggio previsto da una polizza di noleggio a tempo determinato. Pertanto, si può constatare che una nave sarà meno vulnerabile da un attacco informatico se è meno dipendente dai propri sistemi di informatica o tecnologia operativa. Copertura dei rischi informatici della navigazione nelle polizze di assicurazione marittima Gli armatori, come qualsiasi imprenditore suscettibile di attacchi informatici, adesso hanno a disposizione una copertura dei rischi informatici (quale rischio non marittimo). Restando nello stretto ambito dei rischi informatici marittimi, è utile distinguere fra i club di P&I (protezione ed indennità) e le compagnie di assicurazione. In termini generali, al contrario delle compagnie di assicurazione che inseriscono la ben nota "Clausola Istituzionale di Esclusione degli Attacchi Informatici 380" (la Esclusione 380) nelle proprie polizze per lo scafo, le macchine la merce, i club di protezione ed indennità (almeno, quelli del Gruppo Internazionale) non escludono automaticamente la copertura delle perdite o la responsabilità civile derivante dagli attacchi informatici. Infatti, essendo consapevoli dell'applicazione della Esclusione 380 da parte delle compagnie di assicurazione, i club offrono una specifica copertura per le richieste di risarcimento che normalmente vengono escluse (ad esempio, la "Ciberclausola 380 di riacquisto" dello Hull Club norvegese). I club di protezione ed indennità si aspettano che i propri membri adottino tutte le misure raccomandate per gestire i rischi informatici, sia in porto che a bordo delle navi, cosa che spiega perché molti club facciano riferimento alla conformità alle linee guida per la sicurezza informatica pubblicate dalla BIMCO. Al contrario, le compagnie di assicurazione espressamente escludono i rischi informatici ai sensi della Esclusione 380 in relazione alla copertura per lo scafo e le macchine così come per le merci (sebbene in questo caso vi sia una versione edulcorata della Esclusione 380 in virtù della quale l'esclusione non si applica se l'uso di un computer ha contribuito al furto o all'appropriazione della merce assicurata). La Esclusione 380 lascia gli armatori senza copertura per i danni e la perdita di profitto a causa di attacchi informatici. Ai sensi della Esclusione 380, è sufficiente che il danno sia stato causato da remoto da un attacco informatico e che quest'ultimo sia stato utilizzato per causare un danno mediante l'introduzione di, ad esempio, un codice malevolo od un virus con l'intenzione di provocare nocumento. Questo comporta l'obbligo per gli armatori di ottenere una specifica assicurazione ad hoc. Attualmente non ci sono tanti specifici prodotti assicurativi per lo scafo e le macchine contro gli attacchi informatici, sebbene alcuni assicuratori abbiano indicato di voler abolire la Esclusione 380 se gli armatori volessero riferire gli attacchi informatici (consentendo perciò agli assicuratori di ottenere informazioni e quantificare, valutare e graduare il rischio assicurabile) ed adeguarsi a determinate pratiche ed a controlli preventivi. L'impatto giuridico della sicurezza informatica L'IMO è consapevole del fatto che il settore marittimo-portuale non può restare ai margini della gestione dei rischi informatici, sia a bordo che a terra. Per questa ragione, sono stati pubblicati i seguenti documenti: un glossario multilingue dei "cibertermini" che serva da guida generale; la circolare MSC.FAL.1/Circ. 3 che fornisce le "Linee guida per la Gestione del Rischio Informatico Marittimo" (che fa altresì espresso riferimento alle Linee Guida per la Sicurezza Informatica a Bordo delle Navi della BIMCO). Nello specifico, l'IMO ha concesso agli armatori una data limite fino al 1° gennaio 2021 per incorporare la gestione della sicurezza informatica all'interno del proprio Codice ISM. A partire da quella data, le navi possono essere trattenute a fini di ispezione dal PSC (Controllo Statale dei Porti) per non avere attuato le misure raccomandate dall'IMO per la "incolumità informatica" (applicabile ai sistemi di tecnologia operativa delle navi) o per la "sicurezza informatica" (applicabile ai sistemi telematici della nave). A causa di questi rischi, è probabile che l'IMO entro poco tempo richieda misure simili riguardo al Codice ISPS. Pertanto, una nuova fonte di obblighi è all'orizzonte per il già saturo armatore: la gestione della sicurezza informatica, non solo per prevenire gli attacchi informatici (con la sua correlata e costosa copertura assicurativa) ma anche per evitare sanzioni e l'arresto della nave. In conseguenza di quanto sopra esposto, sorge un'altra domanda: potremmo vedere una nave "ciber-inidonea alla navigazione"? Ai sensi delle sezioni 3(1) delle Regole dell'Aja Visby e 212 della Legge sulla Navigazione Marittima, un armatore è obbligato a garantire la navigabilità (nel senso sia di idoneità alla navigazione sia di idoneità a trasportare carichi) delle proprie navi, effettuando un'adeguata verifica per conservare questa condizione di navigabilità in qualsiasi momento. Anche le polizze di noleggio richiedono la stessa cosa. Riassumendo, l'idoneità alla navigazione è una necessità fondamentale per effettuare operazioni con una nave ed assicurarla. Che cosa succede se un armatore non si conforma alle linee guida per la gestione della sicurezza informatica a bordo come richiesto dall'IMO e dalla BIMCO? Potrebbe essere implicito che la non conformità comporti la "inidoneità al trasporto di carichi" o la "inidoneità alla navigazione" ai sensi di una polizza di noleggio o di una locazione a scafo nudo. Se un armatore omette di adottare misure preventive di sicurezza informatica e, per tale motivo, uno hacker ottiene l'accesso ai sistemi di trasporto merci, manovra, zavorra o propulsione della nave e causa una perdita, la domanda che sorge è se la nave era davvero navigabile e pronta a ricevere e trasportare merci in sicurezza. Allo stesso modo, questa inidoneità alla navigazione a causa di una carenza di sicurezza informatica potrebbe costituire una situazione di "fine locazione" ai sensi di una polizza di noleggio. Ad esempio, un attacco informatico potrebbe lasciare una nave senza macchine e zavorra e pertanto renderla non operativa. Il pericolo può solo aumentare con l'emersione della navigazione autonoma che sarà più vulnerabile agli attacchi informatici (e per la quale occorrerà procedere ad una rivisitazione del concetto di idoneità alla navigazione poiché si prevede che tali navi viaggino senza equipaggio, cosa che richiederà una espressa riforma della SOLAS). Commento Nessun armatore è immune dai rischi informatici, sebbene il livello di vulnerabilità sia proporzionato al livello di automazione ed interconnessione della flotta. L'IMO ha fissato una scadenza al 1° gennaio 2021 affinché gli armatori incorporino la gestione della sicurezza informatica nel Codice ISM; nel caso di non conformità, si prevede di assistere ai primi casi di blocco per tali ragioni. È prevedibile che l'IMO incorporerà richieste simili nell'ISPS. Non è al di fuori di ogni logica che le emissioni nell'area della sicurezza informatica possano comportare conseguenze per il concetto di idoneità alla navigazione di una nave, con tutte le conseguenze correlate e non solo quelle inerenti alle autorità competenti - sanzioni ed arresti - ma anche quelle contrattuali, relative alle polizze assicurative per scafi e noleggi. Data la crescente pressione normativa sulla sicurezza informatica nel settore marittimo e la progressiva automazione ed interconnessione della tecnologia nautica, sarà inevitabile che ci sia in futuro la necessità di nuovi prodotti assicurativi che coprano specificamente i rischi informatici marittimi e portuali. Maggiori informazioni Per informazioni in ordine ai servizi ed alle competenze dello studio Kennedys e relativi contatti, si può consultare il sito www.kennedyslaw.com. (da: hellenicshippingnews.com/kennedyslaw.com, 19 dicembre 2017)