Interviste

Marco Consigliere (WTW): “Cybersecurity, industria marittima ancora in una fase embrionale”

“Il problema degli attacchi informatici si può provare a mitigare, ma non ad eliminare del tutto perché la dipendenza dalla tecnologia è ormai invasiva nell’industria marittima e di conseguenza l’attenzione da parte degli hacker è altissima. Tuttavia, le compagnie di navigazione continuano ad essere impreparate sul tema della cybersecurity”.

Parte da qui Marco Consigliere, responsabile della divisione Marine di Willis Towers Watson (WTW), una delle principali società di consulenza e brokeraggio a livello globale, per spiegare qual è oggi il livello di maturità dell’industria del mare nei confronti della sicurezza informatica. Consigliere ha avuto ieri un webinar con 25 aziende associate ad Assarmatori, con cui si è confrontato a viso aperto sui rischi potenziali che un cybercrime potrebbe avere sulle compagnie di navigazione in termini di costi finanziari. E su quali soluzioni WTW ha messo in campo per tentare di arginarli.

“La sensazione che avevamo, è stata confermata: la gestione della cybersecurity in ambito marittimo sembra ancora in una fase embrionale. Ma non solo in Italia. Tra i nostri clienti abbiamo i primi 10 vettori marittimi e i primi 6 cantieri di costruzione mondiali, quindi posso affermare con certezza che se si escludono i grandi gruppi, i quali si stanno attrezzando, quelli piccoli e medi scontano ancora una arretratezza sia in Italia che all’estero”

Perché sopravvive questo ritardo?

“E’ la stessa domanda che ci siamo chiesti noi. Anche perché dopo l’attacco a Maersk nel 2017 e a Cosco nel 2018, negli anni successivi l’industria marittima ha continuato a ritenersi quasi immune agli attacchi informatici. Sembra un paradosso, ma è così. Pensi che ancora oggi sopravvivono molti miti informatici tra gli armatori”.

Quali sono?

“Due su tutti: il rischio informatico non influisce sul settore marittimo. Nessuno farà un attacco cyber a un’azienda del settore marittimo, quindi non ho nulla di cui preoccuparmi. Eppure i dati dicono altro: secondo le statistiche di NAVAL Dome (provider israeliano di soluzioni per la difesa informatica, ndr) da febbraio a giugno 2020 è stato registrato un boom di attacchi cyber del 400% contro l’industria marittima. Cosco, MSC e, più recentemente, Carnival e CMA CGM, sono solo esempi di grandi aziende del settore marittimo che sono state prese di mira dai cyber-criminali. Non è però necessario essere un bersaglio per subire l’impatto di un cyber-attacco: basta chiedere a Maersk e a molti altri, che hanno subito danni collaterali di un cyber-attacco il cui bersaglio era l’Ucraina. È stato ben dimostrato come Maersk abbia subito danni finanziari significativi a seguito dell’attacco”.

Esiste il rischio concreto di attacchi informatici alle navi?

“Certo. Sebbene non siano stati ancora segnalati casi di danni fisici alle navi causati da un attacco informatico, la sempre più diffusa dipendenza da tecnologie operative come GPS, AIS ed ECDIS a bordo delle navi aumenta la minaccia di danni fisici”.

La vostra sensazione è che i cybercrimes aumenteranno?

“Penso proprio di sì, perché ci sono falle nei sistemi di sicurezza delle compagnie di navigazione che si aprono ovunque, anche nella maniera più banale per colpa dei dipendenti che cadono nei tranelli degli hacker. Questo rischio oggi aumenta in modo esponenziale con la diffusione dello smart working, il lavoro da remoto, che rende l’industria marittima, e non solo quella ovviamente, più vulnerabile”.

Per una compagnia di navigazione quanto è importante dotarsi di una divisione cybersecurity per contrastare in modo efficace potenziali attacchi informatici?

“E’ importante, ma non basta perché in realtà ogni funzione aziendale dovrebbe essere coinvolta nel processo: IT, DPA, HR, Responsabile sicurezza, Finance fino al top management. A monte però ci deve essere la convinzione da parte dell’armatore che quel processo sia essenziale per la sua società, e questo si deve tradurre in investimenti in piani di sicurezza veri e propri che partano da backup e disaster recovery plan, due soluzioni indispensabili per la protezione dei dati e degli interi sistemi. Oltre naturalmente alla formazione delle risorse umane di terra e di mare”.

Se è vero che le compagnie di navigazione sono ancora in una fase embrionale in ambito cybersecurity, è anche vero che il mondo assicurativo non ha saputo aiutarle. O no?

“Confermo, purtroppo sul mercato ci sono ancora clausole vecchie di quasi 20 anni. Per quanto riguarda ad esempio la cosiddetta copertura “Corpi e Macchine”, una delle principali forme di assicurazione marittima, abbiano polizze in cui sopravvive la clausola 380, la “Cyber Attack Exclusion Clause” del novembre 2003, adottata in tutto il mondo dalla maggior parte degli assicuratori. Questa clausola esclude perdite, danni, responsabilità e costi derivanti da qualsiasi tipo di attacco informatico. Anche con l’ingresso sul mercato della nuova clausola, la LMA5403, l’esclusione del rischio cyber viene mitigata tramite la reinclusione in copertura “non malicious act” (esempio, l’errore di un operatore), ma l’attacco informatico verrà di nuovo escluso. Adesso alcune assicurazioni mitigano questa clausola con un “buy back” dell’“exclusion” ma si tratta sempre di una copertura “non affermativa”, ovvero semplicemente di un riacquisto dell’esclusione e non di una copertura specifica in sé”.

Che cosa propone agli armatori WTW per ovviare a questo problema?

Da due anni stiamo lavorando al progetto CyNav, una vera e propria soluzione cyber specifica per il marine. Si tratta di un’assicurazione dedicata e non una versione di prodotti cyber generici preesistenti, modificati marginalmente per adattarsi al settore marine. CyNav include diverse coperture: costi di gestione della crisi, che protegge gli armatori a fronte di attacchi ransomware, violazioni dei dati e molto altro ancora; interruzione delle attività in caso di incidente informatico che interrompa le operazioni (compreso il caso in cui l’incidente si verifichi presso un fornitore di servizi informatici utilizzato dall’armatore); danni alla nave e perdita del nolo derivanti da un attacco informatico o da un’interferenza di comunicazione satellitare (spoofing); perdita del nolo derivante da interruzione o arresto di una nave a seguito di un attacco informatico; ammende e dei costi legali derivanti da azioni normative, comprese quelle previste dal GDPR e dalla direttiva sui sistemi di rete e di informazione (NISD)”.