波立つ海域: 海事産業におけるサイバー攻撃への対応

船舶航行はますますデジタル化されお互いが繋がっています。従来の海上運航が自律的でコンピュータ化されたプロセスに置き換えられるにつれ、サイバーセキュリティの脆弱性が多く見られるようになりました。

この問題は海運業界に限ったことではありませんが、サイバー攻撃に関して海運業界は固有の課題に直面しています。これらには、船舶や世界規模のサプライチェーンの非常に複雑な性質、運航と用船契約に関与する多数の利害関係者が含まれます。

一部の業界専門家はすでにこれらの脅威への対処に活発に取り組んでいますが、この分野の世界的展開と重要性を考えると、短期的な解決策はおそらくありません。

限りない悩み

スタンダードクラブの『Alongside』ポッドキャスト (ポッドキャストの視聴はこちら) で、海事産業におけるサイバー攻撃分野の専門家2人が、業界が直面している脅威の性質と規模について概説しました。 

海事産業のサイバーリスク管理およびサイバーコンプライアンスの保証を支援する会社であるCyber Owlの最高経営責任者Daniel Ng氏は、攻撃の大部分は小規模なランサムウェア攻撃によるものであると説明しました。

船舶を停止させる大規模なジェームズ・ボンド式のコンピューター設備のシャットダウンではなく、通常、犯罪者が「輸送会社から手っ取り早くお金を稼ごうとしている」場合には海運業界がサイバー攻撃から直面するリスクは非常に小さいとNg氏は説明しています。

これまでのところ、制御不能による船舶の衝突や座礁につながった攻撃はありませんが、それが船主のレーダーに対する懸念が薄れているわけではありません。

サイバー攻撃には悲劇をもたらす傾向はありませんが、サイバー攻撃に起因する遅延により、収入源や収益源に大きな影響を与える可能性があります。船舶所有者、運航者、船主、用船者、トレーダーが「Strike＆Delay（ストライキ＆遅延）」サイバー保険プロテクションを通じて自身を保護できる手段です。

ますます不安定な国際情勢に起因して、CyberOwlが特に警戒していた2月に、深刻な途絶の一例が発生しました。

「2つの異なる顧客にまたがる船舶8隻、および非常に異なる船種の船舶8隻に対して、船舶に乗り込みコンピューターに侵入するように設計されたマルウェアの証拠を発見しました」とNg氏は語りました。

攻撃者が機械を完全に制御できるように設計されたウイルスは、2隻の船舶内のネットワーク全体に渡って拡散しました。 

運用制御技術 (OT) には、船舶に搭載されたナビゲーションシステム、エンジン制御システム、バラストおよび水処理システムなどがあり、したがってこの特定のウイルスの脅威の下にあります。情報技術 (IT) への攻撃はデータと情報の損失を起こしかねませんが、第三者がOTにアクセスすることは、船舶の運航と安全性が失われる可能性があることを意味します。

「機械をシャットダウンして機械上のファイルを置き換える、機械の裏でこっそりと情報を盗み出す、単にその機械で新しいコマンドやプロセスを実行しようとします。この特定のマルウェアはそうするように設計されています」とNg氏は述べました。

Ng氏のチームが特定したマルウェアは「Plug X」と呼ばれ、商業活動や身代金目的の活動ではなく、主に政治スパイ活動で悪名高い一種です。 

ただし、このような顧客に対して導入された制御を考えると、船舶システムに乗っ取りの証拠はありませんでした。 

「それでは、船上のシステムのサイバーセキュリティに向けて搭載されている典型的な事柄に関して、そこから何を学びましたか？1つ目は、多くの場合、船舶に搭載された従来のITとOTが分離されています。分離されている場所には、制御の適切な層があります」とNg氏は説明しました。

この事件によって浮き彫りになったもう 1 つの問題は、このような「攻撃」がより広範囲で対象を絞っていないプログラムによる巻き添え被害であることが多いということです。

「私たちはこれを『スプレー＆プレイ』アプローチと呼んでいます。犯罪者はただそれを解き放ち、それが何らかのコンピューターを手に入れることを望んでいます」と続けました。

サイバー攻撃の起源は謎に包まれたままであり、その起源は不明であるため、これは保険会社にとって問題となる可能性があります。

船舶は別として、サイバー攻撃は同様に陸上インフラストラクチャを攻撃する可能性があり、その結果、港湾での船舶の遅延につながる可能性があります。

詳細に関しては、スタンダードクラブの Strike & Delay（ストライキ＆遅延保険）サイバー保険を参照してください。

安全第一の対応

Ng氏によると、攻撃後のクリーンアップ（後始末）の第1段階は、インシデントの深刻度にもよりますが検知後24時間以内に実行されます。その後、攻撃の拡散を阻止し、船舶の運航を安全に確保することに主に重点が置かれます。 

「それが、最初の段階での唯一大切なことです。その後、第2段階では、復旧、再起動、事業を元の軌道に乗せること、運航の継続が全てです」と付け加えました。 

最後に、そもそもどこに脆弱性があったかを理解するための証拠を収集します。

一部の企業は事業の再開を優先したいと考えているかもしれませんが、海運の世界は海上で生き延びることを意味します。 

「一番焦点があてられるべきは常に安全な船舶運航です。さもなければ、事業中断に繋がります」とNg氏は話しています。

AXISの場合、攻撃が発生した場合の24 時間対応は、補償引受能力の一部です。

「当社のサイバー保険契約により、インシデント対応チームができました。また、24 時間年中無休の専用ホットライン番号があり、事件のトリアージに役立つ専門家を揃えています」とFurness-Smith氏は述べています。

ロスプリベンション

保険市場のサイバー面は、より発展した財物損壊セクターよりも新しいものです。サイバー攻撃補償の初期段階の性質には、絶え間ない進化のプロセスが明白に含まれています。

Furness-Smith氏は、船主は、保険の観点から、自らの残りの事業と必要とする補償についてもっと意識する必要があると説明しています。たとえば、サイバー攻撃の結果としての物的損害は、通常、船体保険契約や機械保険契約では補償されません。 

AXIS Capitalのシニアサイバーアンダーライター兼海上サイバー責任者であるGeorgie Furness-Smith氏は、こう語ります。「この5年間で大きく変わったのは、脅威に対する認識と理解です」

AXIS Capital は、専門分野の保険・再保険を世界的に提供する大手プロバイダーです。サイバー攻撃への対応は、海上における優先すべき重要課題になりつつあります。

「本質的に、そういった理由から別のサイバー保険契約が必要とされています。サイバー攻撃の深刻度と頻度は年々増加しています。そのため、私のような企業であるAxisがその問題に取り組む解決策を提供できることが不可欠になっています」と彼女は述べています。

さらに、脆弱なのは船舶だけではありません。すべての業界にわたり攻撃数とその深刻度が増加していることは、企業ネットワークに対するランサムウェア攻撃などのサイバー攻撃によって海上ビジネスが危険に晒されていることを示しています。

補償に関して、Furness-Smith氏は、攻撃対応費用を軽減するには、特定の保険契約が必要であると述べています。

「ランサムウェアなどのリスクからバランスシートを守り、事業の中断やその他のさまざまな事柄を補償する従来のサイバー保険に加入する必要があります」と彼女は提案しました。

「2 番目に必要となるのは、船舶の物的損害に対する補償です」

透明性の問題

企業は、潜在的な投資家にとって脆弱であるように思われることへの懸念から、サイバー攻撃の正確な規模を明らかにしたがらない可能性があります。 

Ng氏は、海運業界は、金融サービスなどの他の業界が秘密主義から透明性のあるアプローチに移行する際に使用している手段に目を向ける必要があると提案しました。情報を報告して共有することで、他の人々にどのような弱点が悪用されたかを気付かせ、長期的には業界全体の利益となります。

シンガポールの海運会社450社を代表するシンガポール海運協会とのパートナーシップの一環として、CyberOwlはシンガポール港湾局から刺激を受け、シンガポールの海運会社のサイバー成熟度の基準を設定しています。より広い目的は、攻撃に対する舷墻の形成方法について、地球規模の業界に向けて前例を作ることです。

「シンガポールの海運部門全体の成熟度を理解し、サイバーキャパシティのさまざまな面におけるベンチマークを理解できる能力は、非常に有意義で非常に力強いです」とNgは述べます。

高まるサイバー攻撃 

海運業界で加速するデジタル化と自動化の性質は、サイバーセキュリティが荷送人にとって考慮せざるを得ない別の固有コストに恐らくなりそうなことを意味します。この点で、海運は他のほとんどのセクターと何ら変わりはありません。

しかし、激しい競争が始まったかもしれませんが、海運業界がスマートカバレッジと技術的優位性の両方で回復力を維持している限り、有意な位置に立っていることは間違いありません。

「それは避けられないと思いますが、私たちはより強くなり、より高い教養を受け、より多くのコントロールを導入しています。したがって、このような事柄は時間の経過とともに安定します」とNg氏は結んでいます。

カテゴリ: Cyber Security, Strike & Delay