Cyber Risk Management nella SMS (MSC.428(98))
Il Codice ISM non ha mai avuto un capitolo dedicato al cyber risk: la Risoluzione MSC.428(98) lo ha inserito dentro la gestione del rischio già esistente, rendendolo un requisito maturo e verificabile dal 2021 in poi.
Spiegazione operativa
La Risoluzione MSC.428(98) (adottata a giugno 2017) non introduce un nuovo capitolo nel Codice ISM, ma stabilisce che i rischi cyber devono essere affrontati adeguatamente all'interno del Safety Management System esistente, secondo il quadro generale di gestione del rischio già previsto dal Codice (in particolare i paragrafi 1.2.3.2 e 1.4 sulla valutazione dei rischi e le procedure operative). Le Amministrazioni sono state incoraggiate ad assicurarsi che i rischi cyber fossero adeguatamente affrontati nell'SMS non oltre la prima verifica annuale del Document of Compliance (DOC) successiva al 1° gennaio 2021: un requisito ormai maturo e consolidato, non più una novità recente.
Il supporto tecnico a questo requisito è fornito dalle Linee Guida sulla Gestione del Rischio Cyber Marittimo (MSC-FAL.1/Circ.3), più volte revisionate: l'ultima revisione (Rev.3) è stata approvata dal Maritime Safety Committee alla 108ª sessione (maggio 2024), a conferma che il tema resta in evoluzione anche a distanza di anni dall'introduzione del requisito. Le Linee Guida articolano la gestione del rischio cyber secondo cinque funzioni: identificare, proteggere, rilevare, rispondere e ripristinare (identify, protect, detect, respond, recover).
Riferimento normativo
Risoluzione MSC.428(98) (giugno 2017): i rischi cyber devono essere adeguatamente affrontati nell'SMS secondo il quadro di gestione del rischio del Codice ISM (par. 1.2.3.2, 1.4), non oltre la prima verifica annuale del DOC successiva al 1° gennaio 2021. Supportata dalle Linee Guida MSC-FAL.1/Circ.3, in ultima revisione (Rev.3) approvata all'MSC 108 (maggio 2024).
Campo di applicazione
Ogni Compagnia certificata ISM (DOC), per tutti i sistemi IT (information technology) e OT (operational technology, es. automazione di macchina, ECDIS, GMDSS) a bordo e a terra rilevanti per la sicurezza operativa.
Procedura / Come si compila
- Integrare il rischio cyber nella valutazione dei rischi generale dell'SMS, non come documento separato e isolato dal resto del sistema di gestione della sicurezza.
- Applicare le cinque funzioni delle Linee Guida MSC-FAL.1/Circ.3 (Rev.3): identificare i sistemi critici, proteggerli, rilevare le anomalie, rispondere agli incidenti e ripristinare l'operatività.
- Distinguere e mappare separatamente i sistemi IT (gestionali, comunicazione) e i sistemi OT (automazione di macchina, navigazione, carico), che richiedono contromisure diverse.
- Integrare gli incidenti cyber nel registro NC/Near Miss esistente, applicando lo stesso ciclo di analisi causa radice e CAPA già usato per le altre non conformità.
- Formare l'equipaggio e il personale a terra sui rischi cyber più comuni (phishing, dispositivi USB non controllati, accesso remoto non autorizzato ai sistemi di bordo).
- Verificare, in occasione della prima verifica annuale DOC successiva, che l'auditor abbia evidenza documentale dell'integrazione del rischio cyber nell'SMS.
Esempio pratico
Esempio: una Compagnia mappa i sistemi ECDIS, GMDSS e di automazione di macchina come sistemi OT critici, stabilisce una procedura di controllo per l'uso di dispositivi USB esterni a bordo, e integra un incidente di malware rilevato su un laptop di bordo nel registro NC esistente, con relativa CAPA e verifica di efficacia.
Casi reali
Errori ricorrenti Mistake Library
| Errore | Conseguenza | Come evitarlo |
|---|---|---|
| Rischio cyber gestito come argomento IT separato, non integrato nella valutazione dei rischi generale dell'SMS | Assenza di evidenza documentale integrata in caso di audit, nonostante l'esistenza di misure IT tecniche | Integrare esplicitamente il rischio cyber nella valutazione dei rischi e nelle procedure dell'SMS, non solo nella policy IT aziendale |
| Nessuna distinzione tra sistemi IT e sistemi OT nella valutazione del rischio cyber | Contromisure pensate per i sistemi gestionali applicate impropriamente ai sistemi di automazione/navigazione critici | Mappare separatamente sistemi IT e OT, con contromisure specifiche per ciascuna categoria |
| Incidenti cyber non registrati nel ciclo NC/CAPA esistente | Perdita dell'opportunità di analisi causa radice e miglioramento continuo già prevista dal Codice ISM per le altre non conformità | Trattare ogni incidente cyber rilevante come una NC a tutti gli effetti, con relativa CAPA e verifica di efficacia |
Osservazioni PSC
Suggerimenti operativi
- Non trattare il cyber risk come un documento a sé stante: integralo nella valutazione dei rischi generale dell'SMS, con gli stessi meccanismi di verifica e miglioramento continuo.
- Applica le cinque funzioni delle Linee Guida MSC-FAL.1/Circ.3 (identificare, proteggere, rilevare, rispondere, ripristinare) come struttura di riferimento, non solo come lista di controlli tecnici.
- Rivedi periodicamente le Linee Guida MSC-FAL.1/Circ.3, giunte alla Rev.3 (MSC 108, maggio 2024): il tema resta in evoluzione anche a distanza di anni dal requisito originario.
Checklist
- Rischio cyber integrato nella valutazione dei rischi generale dell'SMS
- Sistemi IT e OT critici mappati separatamente, con contromisure specifiche
- Procedure di identificazione, protezione, rilevamento, risposta e ripristino documentate
- Incidenti cyber registrati nel ciclo NC/CAPA esistente
- Equipaggio e personale a terra formati sui rischi cyber più comuni