La gestione del rischio ransomware in ambito portuale: linee guida e best practice

La gestione del rischio ransomware è divenuta una priorità anche in ambito portuale in seguito al consolidarsi di nuovi scenari di rischio di security per i porti e gli operatori portuali rappresentati dall’infezione del famigerato NotPetya ai danni di Maersk e dei successivi attacchi ai porti di Barcellona e San Diego.

Gestione del rischio ransomware in ambito portuale: gli studi

A distanza di otto anni dalla presentazione del primo studio in materia di cyber security nel settore marittimo intitolato Analysis of cyber security aspects in the maritime sector, ENISA pubblica un nuovo documento di approfondimento, dal titolo Port Cyber Security – Good practices for cybersecurity in the maritime sector.

Le differenze tra i due elaborati, oltre che per l’arco temporale indicato, sono evidenti già dal titolo ultimo, il quale evidenzia una rinnovata attenzione rispetto all’ambito portuale, oltre che marittimo in senso stretto.

Del resto, in questi otto anni molto è cambiato e non solo, in tema di security delle informazioni trattate e conservate sui sistemi informatici, ma in particolare (e questo ne è stato il mezzo principale) nella modernizzazione dei processi operativi e nell’introduzione di nuovi sistemi a valore aggiunto riconducibili al mondo dell’industria 4.0^[1].

Lo sviluppo di questo processo di trasformazione digitale ha comportato l’apertura all’esterno di processi produttivi ed operativi, normalmente generatori di valore all’interno dell’impresa ed un tempo operanti stand alone, mediante il veicolo delle reti per la trasmissione dei dati su internet^[2].

Questa apertura sulla rete internet, inevitabile per consentire la piena operatività delle nuove tecnologie, rappresenta contestualmente l’elemento di vulnerabilità principale; pertanto da tale circostanza, nasce l’esigenza di sviluppare un apposito sistema di gestione della security delle informazioni e dei dati trattati.

Questo quadro assume rilievo in considerazione del rinnovato ruolo dei porti e degli impianti portuali nazionali quali infrastrutture critiche, identificabili se ne ricorrono i presupposti, come operatori di servizi essenziali^[3]. Una qualifica rilevante questa, anche in relazione alla loro possibile inclusione nel perimetro di sicurezza nazionale cibernetica, di cui al decreto-legge n. 105/2019 come convertito nella Legge n.133/2019.

Fonti di diritto rilevanti e best practice

Sul piano giuridico, risulta di particolare interesse il panorama normativo considerato da ENISA, e posto alla base dello studio pubblicato^[4].

La rilevanza non riguarda tanto la novità nei contenuti proposti, ma il riordino e coordinamento che per la prima volta viene eseguito in un documento istituzionale (anche in considerazione del rinnovato ruolo di ENISA^[5]), tra le fonti di diritto internazionale e comunitarie tipiche della port security e le normative alla base del nuovo corpus normativo fondante la materia della cyber security.

Nel dettaglio, per quanto concerne la normativa di diritto internazionale di port security destinata a navi ed impianti portuali, sono anzitutto citate le seguenti norme, già introdotte nel corso della conferenza diplomatica dell’IMO del 2002:

• il Codice ISPS (International Ship and Port Facility Security Code);
• la Convenzione SOLAS (Safety Of Life at Sea) e per essa, il suo nuovo Capitolo XI – 2, contenente Misure speciali per migliorare la security marittima e richiamante il Codice ISPS.

Rispetto a queste norme fondanti, ENISA esplicitamente dichiara che, “This chapter has been defined to address ports security, but requirements can be related also to ports cybersecurity to some extent (access control and authentication requirements)”.

Questo passaggio è importante, perché conferma espressamente come la normativa di port security vigente, sia rivolta in via quasi esclusiva alla prevenzione e protezione, da minacce di security di tipo “fisico”^[6].

Nel dettaglio, i principali documenti strutturati nel Codice ISPS, ovvero il documento di valutazione del rischio di security (Port Facility Security Assessment o PFSA) ed il relativo piano di trattamento del rischio (Port Facility Security Plan o PFSP) non offrono indicazioni specifiche sui rischi di tipo cyber e pertanto l’adeguamento da parte dell’impianto portuale, passa ad oggi da una interpretazione estensiva della norma^[7].

Sul piano delle fonti di diritto comunitario, sono citate le norme relative alla security di impianti portuali, porti e trattamento dei dati ed in particolare:

• il Regolamento CE n. 725/2004 relativo al miglioramento della sicurezza delle navi e degli impianti portuali, che recepisce in ambito comunitario il Capitolo XI-2 SOLAS ed il Codice ISPS;
• la Direttiva 2005/65/CE relativa al miglioramento della sicurezza dei porti (quali elementi operativamente e concettualmente distinti dagli impianti portuali)^[8];
• il Regolamento (EU) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 – Regolamento generale sulla protezione dei dati (o GDPR)^[9];
• la Direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (c.d. Direttiva NIS)^[10]: La direttiva in oggetto trova nei considerando 10 e 11 un riferimento specifico rispetto al sottosettore del trasporto per vie d’acqua ed in particolare, l’Allegato II, settore II, sottosettore c, individua quali operatori di servizi essenziali, ai sensi degli artt. 4 e 5 della Direttiva, e per quanto di interesse in ambito porti/impianti portuali: “organi di gestione dei porti quali definiti all’articolo 3, punto 1, della direttiva 2005/65/CE del Parlamento europeo e del Consiglio, compresi i relativi impianti portuali quali definiti all’articolo 2, punto 11, del regolamento (CE) n. 725/2004, e soggetti che gestiscono opere e attrezzature all’interno di porti”;
• il Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio del 17 aprile 2019, relativo ad ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione (Regolamento sulla Cibersicurezza).

Sul piano delle best practice assumono rilievo i seguenti documenti aventi valore di linee guida e raccomandazioni di settore:

• European Union Maritime Security Strategy emanata nel 2014 ed aggiornata nel 2018, rappresenta un piano condiviso all’interno dell’UE, sviluppato al fine di tutelare persone ed assett costituenti complessivamente l’ecosistema marittimo, porti inclusi, avverso i rischi e le nuove minacce di security che coinvolgono il settore. In particolare, il paragrafo 5, lett. d, del documento in oggetto, include fra le minacce ai danni di porti ed impianti portuali, anche i cyber attacchi;
• Guidelines on Maritime Cyber Risk Management emanate con la Circolare MSC-FAL.1/Circ.3 emanata dall’IMO in data 5 luglio 2017^[11]. Il documento presenta raccomandazioni^[12] rivolte a tutti gli attori del settore marittimo e portuale in tema di cybersecurity. In particolare, il paragrafo 2.1.1. della Circolare consente di integrare in un rapporto di genere a specie, gli elementi dell’impianto portuale oggetto di valutazione del rischio ex Paragrafo 15.3.5. Codice ISPS, con elementi considerati vulnerabili a fronte della loro interconnessione alla rete di dati^[13].

L’impianto normativo e di best practice complessivo sopra indicato, necessita in ogni caso di essere inserito in una struttura di processo, idonea a creare un sistema di gestione per la security delle informazioni.

Le indicazioni fornite, riguardano pertanto la costituzione di una “infrastruttura di processo”, fondata sui principi dell’analisi dei rischi specifici che coinvolgono i dati e le informazioni aziendali rilevanti.

Rilevante in questo senso, lo standard ISO/IEC 27001 che definisce i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni, ed implementazione dei relativi controlli (misure di prevenzione e protezione).

Gestione del rischio ransomware in ambito portuale: gli asset

L’identificazione del rischio, quale fase essenziale del risk assessment, è un processo di individuazione, riconoscimento e descrizione del rischio, che si fonda sulle seguenti attività preliminari: identificazione degli asset da tutelare (informazioni e supporti che le contengono), identificazione delle possibili minacce, nonché definizione delle misure di protezione implementate, per ridurre i rischi così individuati.

Lo studio di ENISA ha in questo senso isolato dieci macro categorie di asset informativi e di trattamento, con relative descrizioni, tipici del settore portuale – marittimo. Di seguito i raggruppamenti più rilevanti:

Asset informativi

Di questa categoria fanno parte tutte le informazioni e dichiarazioni, che le navi devono comunicare alle autorità competenti prima dell’ingresso in porto, secondo le disposizioni normative internazionali, comunitarie e nazionali.

A queste si aggiungono le informazioni necessarie per organizzare e gestire i servizi alle navi (c.d. operational data), i dati di navigazione condivisi con il porto, nonché le informazioni commerciali inerenti la prenotazione dei servizi di ormeggio ed i relativi dati di traffico.

Tra gli asset informativi, devono considerarsi altresì, i dati personali trattati secondo le diverse basi giuridiche normative e/o contrattuali, che ne consentono la legittima acquisizione e trattamento, nell’ambito dei rapporti tra porto e compagnie armatoriali e di navigazione.

Rispetto al traffico crocieristico, possono assumere rilievo i dati personali comunicati direttamente dai passeggeri, per l’erogazione di specifici servizi offerti dal porto/impianto portuale alla clientela finale.

Asset di trattamento di informazioni e dati

Gli asset di trattamento dei dati rappresentano la macro categoria più ampia, poiché rispetto al trattamento di informazioni e dati personali, assumono rilievo i sistemi e le reti IT ed OT con relativi dispositivi end user per l’utente professionale, le reti di comunicazione e relativi componenti.

Le persone

Le persone sono qui intese come personale dipendente delle autorità portuali, degli impianti portuali e navi in ormeggio ivi presenti, nonché del pubblico e dei passeggeri aventi titolo per accedere in area portuale.

Lo studio presenta un’analisi dettagliata dei singoli asset^[14] rilevanti in ambito portuale, la cui identificazione e descrizione fornisce un contributo importante, sia per le attività di risk assessment condotte sul piano della sicurezza di dati ed informazioni (con riferimento particolare allo standard tecnico ISO/IEC 27001), sia nell’ambito dell’analisi del rischio prevista dalla normativa di port security e relativa alla formazione del Port facility Security Assessment (PFSA)^[15].

Identificazione delle minacce alla sicurezza delle informazioni

Lo studio di ENISA propone inoltre un’elencazione dei possibili scenari di minaccia informatica, aventi impatto sulla sicurezza di dati ed informazioni nell’ambito dell’ecosistema portuale.

Le minacce indicate, a parte le ipotesi di attacchi fisici e disastri naturali, riguardano come detto gli asset di trattamento di informazioni e dati, di tipo IT ed OT.

Le tecniche di minaccia prese in considerazione riguardano abusi e condotte dolose, quali:

• attacchi DoS;
• uso di malware;
• attacchi in forza bruta;
• furti d’identità;
• ingegneria sociale;
• attacchi aventi obiettivi specifici;
• manipolazione di dati;
• modifiche illegittime dei segnali GPS delle navi e delle rotte di navigazione.

A queste ipotesi si aggiungono le tecniche di intercettazione delle comunicazioni tra porto e navi, intercettazione di dati sensibili, ed attacchi man-in-the-middle.

Queste minacce si inseriscono in particolare, all’interno di un contesto caratterizzato da diverse vulnerabilità strutturali del sistema porto, che agevolano pertanto il successo delle diverse tipologie di attacco.

In questo senso, le prime lacune rilevate nello studio in esame, prima ancora delle mancanze connesse alla scarsa cultura e formazione di security e di cybersecurity^[16], riguardano l’assenza di cultura di base del digitale^[17] nell’ecosistema portuale.

Queste circostanze determinano quindi la scarsità di budget stanziati per investimenti inerenti la cybersecurity, nonché la mancanza di personale qualificato idoneo a coordinare, sviluppare e mantenere progetti in ambito IT ed OT.

Le condizioni sopra indicate, si inseriscono in un contesto molto complesso, composto non solo da una forte diversità di attori privati ed istituzionali, aventi differenti livelli di capacità e competenze in materia di cybersecurity, ma anche da una complessità di sistemi IT ed OT di diverso tipo e tecnologia.

Rispetto alla parte tecnologica, questa complessità ha un impatto ulteriore rispetto alla graduale apertura ed interconnessione dei dispositivi OT, e questo considerata la loro maggiore vulnerabilità, rispetto alle reti ed infrastrutture IT.

Maggiormente attinenti al problema della cultura di cybersecurity, è la difficoltà di mantenere il necessario aggiornamento sui temi dell’innovazione e delle tecniche di minaccia emergenti, anche correlate allo sviluppo di specifici progetti di digitalizzazione dei processi produttivi nei porti, mediante l’impiego degli strumenti tipici dell’industria 4.0.

Rispetto a quanto sopra detto, la lacuna strutturale più rilevante deve individuarsi nell’assenza di normative cogenti in materia di cybersecurity.

In questo senso, la Direttiva NIS ed il relativo decreto legislativo di attuazione, aprono la strada e legittimano il ruolo della sicurezza informatica delle informazioni, ma ancora mancano provvedimenti ad hoc idonei ad imporre l’adeguamento dell’ecosistema portuale, ad adeguati livelli di cyber sicurezza (con stanziamento del relativo budget di spesa).

Ransomware e contromisure in ambito portuale

Lo studio di ENISA presenta infine numero 4 scenari di attacchi informatici nell’ecosistema portuale e per ciascuno fornisce il dettaglio della tecnica di attacco, degli asset teoricamente coinvolti, nonché delle principali misure di protezione da implementare.

In questo senso, assume rilievo (se non altro per ragione di precedenti storici di settore, con il ransomware NotPetya), lo scenario relativo alla propagazione di un ransomware, idoneo a condurre ad un totale spegnimento ed interruzione delle operazioni portuali.

Questo scenario può essere veicolato come un attacco mirato (targeted) o non mirato: gli hacker in questo senso, possono sviluppare un ransomware sfruttando diverse vulnerabilità per diffonderlo nelle reti portuali e crittografare i diversi sistemi e dispositivi colpiti (es. workstation, server, ecc.).

Il danno diretto riguarda la potenziale perdita delle copie di backup dei dati (qualora siano colpiti da crittografia i server deputati ai processi dedicati di backup). In questo senso, considerato già definito il contesto di riferimento e seguendo la linea guida rappresentata dalle fasi di gestione del rischio, lo scenario sopra indicato può essere analizzato nei termini seguenti:

Identificazione degli asset

Gli asset di trattamento dei dati coinvolti sono i sistemi IT, i sistemi OT e relative reti di trasmissione dei dati, nonché i dispositivi OT per l’impiego operativo da parte dell’utente finale;

Gli asset informativi riguardano informazioni e dati personali e tra i primi assumono rilievo: dichiarazioni obbligatorie tra porto e nave, dati commerciali e finanziari, dati di navigazione e dati operazionali relativi alla gestione e pianificazione dei servizi portuali.

Identificazione del rischio

Propagazione ed esecuzione di un malware di tipo ransomware. Il codice malevolo infetta i sistemi informatici degli utenti in modo tale che la vittima non possa (parzialmente o completamente) utilizzare i dati memorizzati su di esso.

Modalità di infezione

1. L’infezione viene contratta dal sistema IT, mediante un aggiornamento per server già contenente il malware (altre modalità possibili di infezione, riguardano il phishing con tecniche di ingegneria sociale, o chiavette USB con codice malevolo);
2. La propagazione del ransomware si diffonde nella rete del porto (da intendersi come singolo stakeholder portuale), utilizzando alcune vulnerabilità non corrette e la mancanza di una adeguata segmentazione della rete IT in parti non comunicanti o separate da controlli di sicurezza (tema rilevante anche per la già citata diffusone dell’IoT e della necessaria coesistenza tra reti prima non comunicanti, come quelle industriali ed IT);
3. L’esecuzione del ransomware avviene sui sistemi e dispositivi dello stakeholder portuale e ruba le credenziali ivi conservate;
4. Il ransomware richiede privilegi elevati per completare l’infezione e pertanto, esegue un meccanismo di elevazione degli stessi per effettuare modifiche di alto livello al sistema. Questa fase è resa possibile mediante il superamento dei meccanismi di user account control dei sistemi operativi;
5. Il malware si diffonde mediante il medesimo meccanismo, nelle altre parti della rete IT connesse a quella di prima infezione;
6. I sistemi e dispositivi infettati possono subire un processo di criptazione dei dati o un blocco del sistema che ne renda impossibile l’accesso;
7. È richiesto un riscatto per lo sblocco dei sistemi infetti.

Misure di protezione

Lo sviluppo di misure di sicurezza per tutti gli attori coinvolti nell’ecosistema portuale rappresenta una parte rilevante dello studio di ENISA^[18], nel quale è stato definito un elenco di 22 classi di misure di sicurezza relative ai porti. In questo senso le misure indicate sono state raggruppate in 3 macro-gruppi di riferimento:

1. Politiche e governance in ambito IT ed OT (PS);
2. Pratiche organizzative di settore IT ed OT, per il personale impiegato (OP);
3. Misure tecniche sui sistemi IT ed OT (TP).

Rispetto allo scenario di rischio da infezione di ransomware in ambito portuale, lo studio individua le seguenti misure di protezione, per ciascuna categoria interessata:

1. Politiche e governance (PS). Nell’ambito dei piani di resilienza devono risultare esistenti ed operativi piani idonei a garantire la continuità delle operazioni portuali ed il recupero dei dati. In particolare, si fa riferimento ad un Business Continuity Plan e Disaster Recovery Plan (PS-15), da considerare nell’ambito di un processo di crisis management formalizzato all’interno di un’organizzazione che coinvolga più attori portuali.
2. Misure tecniche (TP). Nell’ambito delle misure di sicurezza dell’intera rete IT ed OT, si suggerisce di introdurre delle segmentazioni della rete nell’architettura complessiva della stessa, al fine di segregare le aree critiche e contenere eventuali infezioni od incidenti di security (TP-01). A queste misure si aggiunge la necessità di disporre programmi anti-malware ed anti-virus aggiornati su tutte le macchine, nonché aggiornamenti per tutti i componenti IT e OT che compongono la rete (TP-15, TP-23, TP-24).
3. Pratiche organizzative (OP). Le misure concernenti le pratiche organizzative, coinvolgono tutto il personale portuale interessato nell’uso dei c.d. IT end devices (es. laptop, desktop, tablet e mobile phone). La tutela di questi dispositivi passa dall’applicazione di programmi antivirus, sistemi di criptazione e disattivazione di funzionalità non necessarie, quali sistemi di blocco delle porte USB a contatto con l’utente finale (OP-01 e 05). A questo si aggiunga l’implementazione di sistemi di analisi degli asset tecnologici, al fine di ricercarne le possibili vulnerabilità e questo, se possibile, nel quadro di un’organizzazione di security centralizzata denominata Security Operations Centre (SOC) e competente nella identificazione, gestione e rimedio, di rischi ed eventi di cybersecurity (OP-16).

NOTE

1. L’industria 4.0. rappresenta un principio di origine europea (distinto concettualmente dallo Smart Manufacturing Program di matrice americana) collegato all’implementazione nelle imprese manifatturiere ed industriali, di tecnologie (dette abilitanti) idonee, rispetto ad un dato obiettivo di sviluppo produttivo ed organizzativo, ad aumentare la competitività e l’efficienza dei processi produttivi. In particolare, questo paradigma presuppone l’integrazione nei processi dell’impresa, di specifiche tecnologie, quali: Sistemi Cyber Physical (o CPS), Tecnologie OT (comprese tecnologie di tipo robotico e di realtà aumentata) e Tecnologie IT (comprese tecnologie basate su IoT, big data e cloud computing), idonee ad aprire i processi produttivi all’esterno, mediante la rete internet. In questo senso, in ambito europeo riconosciamo i Porti di Barcellona, Amburgo ed Anversa, quali esempi di Smart Ports coinvolti in processi molto marcati di digital transformation; ↑
2. Rilevante in questo senso, l’intervento del Prof. Corrado Giustozzi al TEDxCNR sul rapporto tra cyber security ed IoT. ↑
3. Qualora identificati tali, ai sensi degli artt. 4.4, 5 e Considerando 20 della Direttiva (UE) 2016/1148; ↑
4. Vedi Capitolo 2, The EU Port Landscape in Port Cybersecurity, ENISA, November 2019; ↑
5. Vedi, art. 4 comma II, Regolamento UE 2019/881 – Regolamento sulla Cyber sicurezza; ↑
6. Vedi Paragrafo 15.9 e ss., Parte B Codice ISPS, Allegato III, al Regolamento (CE) n. 725/2004; ↑
7. Vedi in questo senso, Giovanni Campanale, Impianti portuali e Cybersecurity: l’uso del documento di valutazione del rischio e del PFSP. ↑
8. “More concretely, Reg. EC No 725/2004 and Directive 2005/65/EC are the legal frameworks which support risk assessment and security plans for ports and port facilities…”. La direttiva è stata recepita in Italia con il Decreto Legislativo n. 203/2007; ↑
9. In questo senso va considerato sul piano nazionale anche il D.Lgs. n. 101/2018, che modifica il D.Lgs. n. 196/2003; ↑
10. La Direttiva è stata recepita in Italia con il Decreto legislativo 18 maggio 2018 n. 65 di attuazione della direttiva (UE) 2016/1148. In questo senso rileva inoltre in quanto specifica sul tema, la Circolare Titolo Security n. 40 emanata dal Comando generale del Corpo delle Capitanerie di porto in tema di, maritime cyber risk management; ↑
11. Vedi link in Nota 10 che precede, per un approfondimento ulteriore sulle linee guida oggetto di esame; ↑
12. Vedi, Par. 2.2.3., Resolution MSC.428 (98), IMO; ↑
13. Ciascun elemento potrà essere a sua volta esplicitato in sottotemi, relativi agli specifici sistemi implementati nel singolo Impianto Portuale, a seconda sia esso servente unità navali ISPS passeggeri o merci. In questo senso, potrebbe inoltre essere utile distinguere per i singoli sistemi utilizzati, se trattasi di: Sistemi di tipo IT (Information Technology, dove i dati sono usati come informazioni) oppure, Sistemi di tipo OT (Operational Technology, dove i dati sono impiegati per monitorare processi e flussi fisici). Vedi, Par. 2.1.2., Res. MSC. 428 (98), IMO; ↑
14. Vedi, Cap. 3, parr. 3.1. e 3.2., Tabella 2, dello Studio di ENISA, Port Cybersecurity, Novembre 2019; ↑
15. Vedi, Sez. A/15.5., punto 1), “identificazione e valutazione dei principali beni ed infrastrutture da proteggere”. Rispetto allo studio di ENISA possono assumere rilievo ai fini del PFSA, nell’ambito delle Fixed infrastructure, i seguenti elementi:Portuary infrastructure, buildings, energy, Safety&Security systems. In questo senso, i sistemi IT – OT, Network and communication components potrebbero essere inclusi nel PFSA, nell’ambito delle misure fisiche di protezione contro accessi non autorizzati presso le zone ad accesso ristretto che li ospitano sul piano fisico (vedi voce Buildings). Rimarrebbero escluse le peculiari misure di protezione di dati ed informazioni trattate da questi asset e relative all’analisi del rischio proposta nell’ambito di standard tecnici di settore. Un contributo sulle norme di base dei PFSA. ↑
16. “…ports ecosystem used to only rely on safety and physical security to address risks, IT and OT bring new challenges with regards to cybersecurity…”., in Port Cybersecurity, ENISA, Novembre 2019, par. 4.2. Questo aspetto conferma come il concetto di sicurezza in ambito marittimo e portuale si sia sempre riassunto nel motto SAFETY FIRST, dipinto sulla piattaforma di carico di tutte le navi commerciali. Con fatica dal 2004 in avanti è stato introdotto il concetto di port security, quale principio orientato sul piano fisico delle minacce, e questo in un’infrastruttura di trasporto “aperta” per sua stessa impostazione e tradizione e dunque non concepita come security by design, alla stregua di una moderna stazione aeroportuale; ↑
17. “…new trends such as digitisation and IoT initiatives are colliding with the conservative nature of the maritime industry…”, in Port Cybersecurity, ENISA, Novembre 2019, par. 4.2.; ↑
18. Vedi, Par. 5, dello Studio di ENISA, Port Cybersecurity, Novembre 2019; ↑