50.000 barcos en el mundo son vulnerables a los ciberataques

Los 50.000 barcos que navegan por el mar en cualquier momento dado han pasado a formar parte de la lista cada vez m¨¢s larga de objetos que se pueden piratear. Los expertos en ciberseguridad han demostrado no hace mucho lo f¨¢cil que es hackear el equipamiento de navegaci¨®n de un barco. Esto se produce solo unos a?os despu¨¦s de que unos investigadores demostrasen que pod¨ªan enga?ar al GPS de un superyate para que modificase su rumbo. Hubo un tiempo en el que los objetos como los coches, las tostadoras y los remolcadores solo hac¨ªan aquello para lo que estaban originalmente dise?ados. Hoy en d¨ªa, el problema es que tambi¨¦n est¨¢n todos conectados a Internet.

La historia hasta ahora

Las historias sobre ciberseguridad mar¨ªtima no van a hacer m¨¢s que multiplicarse. El sector mar¨ªtimo ha tardado mucho en darse cuenta de que los barcos, como todo lo dem¨¢s, ahora forman parte del ciberespacio. La Organizaci¨®n Mar¨ªtima Internacional (OMI), el organismo de Naciones Unidas encargado de regular el espacio mar¨ªtimo, ha tardado tiempo y ha sido un poco lento a la hora de plantearse una regulaci¨®n adecuada en lo que se refiere a la ciberseguridad.

En 2014, la OMI consult¨® a sus miembros para saber c¨®mo deber¨ªan ser las normas sobre ciberseguridad mar¨ªtima. Al cabo de dos a?os, public¨® sus normas provisionales sobre gesti¨®n de riesgos de ciberseguridad, que son generales y no son espec¨ªficamente mar¨ªtimas. Por eso no es de extra?ar que ahora se est¨¦n pirateando embarcaciones.

La complejidad del sector mar¨ªtimo

Hay varios problemas fundamentales que hacen que al sector mar¨ªtimo le resulte especialmente dif¨ªcil abordar la ciberseguridad.

En primer lugar, existen muchas clases distintas de nav¨ªos y todos ellos operan en entornos muy diferentes. Estos nav¨ªos suelen tener diferentes sistemas inform¨¢ticos integrados. Y, significativamente, muchos de estos sistemas est¨¢n hechos para durar m¨¢s de 30 a?os. En otras palabras, muchos buques llevan sistemas operativos desfasados e incompatibles, que son a menudo los m¨¢s propensos a sufrir ciberataques.

Muchos buques llevan sistemas operativos desfasados e incompatibles, que son a menudo los m¨¢s propensos a sufrir ciberataques

En segundo lugar, los usuarios de estos sistemas inform¨¢ticos mar¨ªtimos cambian continuamente. Las tripulaciones de los barcos son muy din¨¢micas y cambian con frecuencia con poca antelaci¨®n. Como consecuencia de ello, los miembros de las tripulaciones utilizan a menudo sistemas con los que no est¨¢n familiarizados, lo que aumenta las posibilidades de que se produzcan incidentes de ciberseguridad relacionados con los errores humanos. Adem¨¢s, para el mantenimiento de los sistemas de a bordo, entre los que se incluyen los de navegaci¨®n, se contrata con frecuencia a terceras partes muy diversas, por lo que es perfectamente posible que la tripulaci¨®n de un barco no sepa muy bien c¨®mo interact¨²an entre ellos los diferentes sistemas.

Una tercera complicaci¨®n es la conexi¨®n entre los sistemas de a bordo y los terrestres. Muchas compa?¨ªas mar¨ªtimas se mantienen en constante comunicaci¨®n con sus nav¨ªos, por lo que la ciberseguridad del barco tambi¨¦n depende de la ciberseguridad de las infraestructuras terrestres que la hacen posible. Las consecuencias de esta dependencia quedaron de manifiesto en 2017 cuando un ciberataque a los sistemas de A.P. Moller-Maersk provoc¨® retrasos de los cargamentos en toda su flota. Esto resulta especialmente problem¨¢tico para la OMI, que puede regular las normativas portuarias, pero que tiene muy poco control sobre los sistemas en su conjunto y los procedimientos de los operadores mar¨ªtimos.

Pasos en la direcci¨®n correcta

En 2017, la OMI modific¨® dos de sus c¨®digos generales de gesti¨®n de la seguridad para incluir expl¨ªcitamente la cibersecuridad. El C¨®digo Internacional para la Protecci¨®n de los Buques y las Instalaciones Portuarias (PBIP) y el C¨®digo Internacional de Gesti¨®n de la Seguridad (IGS) detallan la manera en que los puertos y los operadores mar¨ªtimos deber¨ªan realizar los procedimientos de gesti¨®n de riesgos. Si la ciberseguridad fuese una parte esencial de estos procedimientos se garantizar¨ªa por lo menos que los operadores son conscientes de los riesgos cibern¨¦ticos.

Esperemos que esto sea el inicio de un enfoque m¨¢s hol¨ªstico de la regulaci¨®n de la ciberseguridad mar¨ªtima. Los conocimientos adquiridos gracias a estas nuevas evaluaciones de los riesgos cibern¨¦ticos pueden permitir a la OMI desarrollar una serie de regulaciones de la ciberseguridad m¨¢s amplias. Hay muchos objetivos f¨¢ciles de alcanzar, por ejemplo, mediante la armonizaci¨®n de algunos requisitos del equipamiento con los est¨¢ndares actuales de ciberseguridad adoptados por otros sectores.

Hacer que vire el barco

No cabe duda de que el sector mar¨ªtimo anda a la zaga de otros sectores del transporte, como el sector aeroespacial, en lo que a ciberseguridad se refiere. Y da la impresi¨®n de que no tiene mucha prisa por arreglar las cosas. Despu¨¦s de todo, las modificaciones espec¨ªficamente cibern¨¦ticas del IGS y del PBIP no entrar¨¢n en vigor hasta el 1 de enero de 2021, y no son m¨¢s que el principio de un viaje. Por eso el sector mar¨ªtimo parece estar especialmente mal preparado para enfrentarse a los desaf¨ªos del futuro, como la ciberseguridad de los barcos totalmente aut¨®nomos.

Lo positivo es que el lento y continuo desarrollo de las regulaciones de ciberseguridad al menos brinda la oportunidad de aprender de otros sectores y entender totalmente los riesgos de la ciberseguridad mar¨ªtima, en lugar de tomar decisiones apresuradas y sin suficiente informaci¨®n.

El desarrollo de unas normativas s¨®lidas de ciberseguridad mar¨ªtima va a ser un proceso muy lento y, posiblemente, dif¨ªcil. Pero el barco ha empezado a virar.

Este art¨ªculo se ha publicado originalmente en The Conversation

Keith Martin es profesor del Information Security Group de la Royal Holloway. Rory Hopcraft es doctor e investigador de la Royal Holloway.

Cl¨¢usula de divulgaci¨®n.? Keith Martin recibe financiaci¨®n del EPSRC. Rory Hopcraft recibe financiaci¨®n del EPSRC.

Traducci¨®n de NewsClips