Guida operativa · Processo SMS

Cyber Risk Management dei Sistemi di Automazione

Un’anomalia digitale può diventare un problema di controllo degli apparati. Gestire il rischio cyber in sala macchine significa conoscere dipendenze e accessi, controllare le modifiche e preparare una risposta e un recupero che mantengano sicuri i servizi essenziali.

cyber riskIACS UR E26IACS UR E27OTautomazione

Spiegazione operativa

Nei sistemi OT (Operational Technology) i dati servono a monitorare o comandare processi fisici: automazione del motore, gestione della potenza, allarmi, pompe e protezioni. Perdere un dato, alterare una configurazione o interrompere una comunicazione può quindi influire sul funzionamento degli apparati. Il rischio comprende anche errori di manutenzione o di autorizzazione, oltre alle azioni intenzionali.

La prima domanda è quale funzione di bordo dipende dal sistema: chi legge quel segnale, chi può cambiare il comando, quali reti o dispositivi lo collegano ad altri apparati e quali possibilità di controllo restano se una parte non è disponibile. Un collegamento del fornitore o un computer di manutenzione diventano parte di questa valutazione anche se usati temporaneamente.

Situazione da comprendere	Possibile effetto operativo	Domanda di familiarizzazione
Postazione di supervisione o rete non disponibile	Informazioni o comandi non raggiungono chi deve usarli	Quali funzioni restano disponibili e quale procedura consente di gestire la perdita?
Accesso remoto o dispositivo di manutenzione	Un soggetto o un software può raggiungere il sistema OT	Chi autorizza, sorveglia e chiude l’accesso?
Modifica a software o configurazione	Comportamento, compatibilità o disponibilità possono cambiare	Quale versione è approvata e come si verifica l’esito?

Riferimento normativo

IACS UR E26 Rev.1 (novembre 2023) e UR E27 Rev.1 (settembre 2023); MSC.428(98); MSC-FAL.1/Circ.3/Rev.4, approvata da FAL 50 e MSC 111 e datata 28 maggio 2026.

La Rev.4 del 28 maggio 2026 è il riferimento verificato per questa revisione. Le linee guida contengono raccomandazioni da integrare nella gestione del rischio; non sostituiscono i requisiti applicabili di bandiera e classe. IMO MSC-FAL.1/Circ.3/Rev.4.

Per l’automazione, identificare sistemi OT, connessioni e dipendenze dei servizi essenziali; definire accessi autorizzati, risposta agli incidenti e ripristino. Collegare le misure cyber alla sicurezza delle operazioni e alle responsabilità del SMS. IACS: cyber resilience objectives.

Per UR E26 Rev.1, §1.3.1, il campo comprende navi passeggeri (incluse HSC) in viaggi internazionali, navi da carico e HSC da 500 GT in viaggi internazionali, MODU da 500 GT e unità offshore mobili autopropulse impiegate in costruzione. Verificare le esclusioni e il campo specifico di E27 per sistemi ed equipaggiamenti. La decorrenza riguarda il contratto di costruzione stipulato dal 1° luglio 2024, non semplicemente la consegna della nave. IACS UR E26 Rev.1 — note e §1.3.1. MSC.428(98), paragrafo 2, incoraggia le Amministrazioni ad assicurare che i rischi cyber siano trattati nel SMS entro la prima verifica annuale del Document of Compliance della compagnia successiva al 1° gennaio 2021; tale data non è un’entrata in vigore generalizzata. IMO MSC.428(98).

E26 riguarda la resilienza cyber della nave come insieme; E27 le capacità di sistemi ed equipaggiamenti nel proprio campo. Per le navi soggette, E26 §5.3 distingue programma ed evidenze del primo annual survey, verifiche successive e special survey. Queste prescrizioni di classe non si estendono a ogni nave esistente per il solo rinnovo.

Per approfondire le particolarità OT, NIST SP 800-82 Rev.3, Guide to OT Security offre guida tecnica su disponibilità, sicurezza fisica e controlli. È una guida distinta dagli obblighi marittimi; il sito NIST identifica Rev.3 come pubblicazione finale e l’aggiornamento Rev.4 come bozza alla data del controllo.

Campo di applicazione

La familiarizzazione riguarda i sistemi di automazione presenti sulla nave e le loro connessioni: non soltanto i computer d’ufficio. Le misure operative seguono il rischio, il SMS della Company, l’assetto e i manuali applicabili. Il quadro MSC.428(98) va letto nel campo del Codice ISM; il perimetro IACS va verificato separatamente per nave e sistemi.

Per E26/E27 Rev.1 contano tipo e dimensioni della nave, contratto di costruzione e Rules applicabili. Un renewal survey, da solo, non trasforma una nave esistente in una new ship soggetta alle UR; queste possono essere usate come guida non obbligatoria per altre navi. Requisiti specifici di bandiera, classe, contratto o modifica possono comunque richiedere misure ed evidenze. L’assenza di quel ramo IACS non giustifica l’assenza di gestione del rischio cyber.

Procedura / Come si compila

Il percorso seguente serve a preparare e spiegare la gestione del rischio; le azioni sugli apparati seguono procedure e responsabilità della singola nave.

Conoscere il sistema. Con responsabili di macchina, Company e fornitori mantenere inventario, funzione, versioni, dipendenze e collegamenti aggiornati. Identificare i servizi essenziali e le conseguenze della perdita di monitoraggio o controllo.
Controllare gli accessi. Verificare ruoli autorizzati, credenziali personali, privilegi e connessioni locali o remote; separare le reti OT dalle reti IT secondo il progetto approvato. Concordare scopo, autorizzazione di bordo, sorveglianza e chiusura dell’intervento del fornitore; usare dispositivi e supporti ammessi.
Preparare le modifiche. Prima di aggiornamenti o cambi di configurazione valutare con maker e Company compatibilità, effetti sui servizi e condizioni di esecuzione. Definire approvazioni, verifiche e possibilità di ritorno a uno stato sicuro; registrare versione, attività ed esito, collegando PMS e documentazione di configurazione.
Preparare il recupero. Identificare quali programmi, configurazioni e dati servono, dove si trovano copie protette e chi può usarle. Verificare che versioni, strumenti, istruzioni e assistenza permettano il ripristino; la presenza di un file di backup, da sola, non dimostra il recupero.
Gestire l’anomalia. Riconoscere e segnalare perdita di comunicazione, dati incoerenti, accessi inattesi o cambi non spiegati. Informare Chief Engineer, comando e referenti Company secondo il piano; valutare prima l’effetto sulla sicurezza. Contenimento, eventuale controllo alternativo e recupero devono essere coordinati e specifici per il sistema.
Verificare e apprendere. Conservare osservazioni e registri disponibili senza compromettere la sicurezza; documentare autorizzazioni, verifiche del ritorno in servizio e azioni correttive. Esercitare ruoli e comunicazioni con modalità approvate e aggiornare il piano in base all’esito.

Esempio pratico

Scenario didattico. Un fornitore propone da remoto un aggiornamento della postazione che supervisiona la gestione elettrica. Prima della sessione, nave e Company chiariscono quali funzioni sono coinvolte, chi autorizza e sorveglia l’accesso, compatibilità dichiarata, copie utilizzabili e verifiche previste. La disponibilità del fornitore non sostituisce l’autorizzazione dell’intervento.

Durante la verifica compare una perdita intermittente di comunicazione. L’ufficiale riferisce sintomi, momento e attività in corso; non conclude dal solo allarme che vi sia un attacco. I responsabili applicano il piano considerando l’assetto elettrico e le possibilità di controllo disponibili. Il lavoro si chiude soltanto dopo l’esito delle verifiche previste, con configurazione aggiornata e registrazione di difetto, intervento e seguito necessario.

Cosa va tipicamente storto

Una misura cyber può avere un effetto fisico. Riavviare un componente, staccare una rete o cambiare una protezione senza conoscere le dipendenze può togliere monitoraggio o controllo ad altri apparati. La risposta va coordinata con la sicurezza delle operazioni; il solo sintomo non distingue un guasto tecnico da un incidente cyber.

Errori ricorrenti Mistake Library

Errore	Conseguenza	Come evitarlo
Considerare sicuro l’OT perché non usa direttamente Internet	Accessi tramite reti collegate, supporti o manutenzione restano fuori dalla valutazione	Mappare tutte le connessioni e le dipendenze, anche temporanee
Lasciare aperto l’accesso del fornitore oltre l’intervento autorizzato	Privilegi e possibilità di modifica restano disponibili senza controllo operativo	Definire autorizzazione, sorveglianza, registrazione e chiusura della sessione
Aggiornare o riavviare senza valutare gli effetti sul sistema integrato	Perdita di funzione o comportamento non previsto degli apparati	Applicare gestione delle modifiche e verifiche concordate con maker e Company
Confondere backup disponibile con recupero verificato	Copie, versioni o strumenti possono non consentire un ritorno sicuro in servizio	Verificare contenuto, compatibilità e capacità di ripristino secondo il piano
Versione o campo di applicazione cyber errati	Controlli e prove richiesti alla nave sbagliata	Verificare gli indici ufficiali IMO/IACS e la contract date

Cosa controlla il PSCO

Nel campo ISM il PSCO verifica i certificati pertinenti e può considerare carenze tecniche o operative come evidenze di mancata efficacia del SMS. Per l’automazione, familiarità dell’equipaggio, gestione di difetti/modifiche e coerenza tra procedure e condizioni osservate possono essere pertinenti. Un’ispezione PSC non equivale a un audit completo del SMS o a una prova di intrusione.

Preparare evidenze pertinenti al caso: responsabilità, familiarizzazione, interventi autorizzati, anomalie segnalate e verifiche di recupero. Distinguere queste evidenze da design, commissioning, programma ed evidenze di survey richiesti dalla classe per le navi nel campo E26. Proteggere credenziali e informazioni sensibili e concordarne la consultazione secondo i canali autorizzati. IMO A.1206(34), Appendix 8.

Suggerimenti operativi

Durante il passaggio di consegne segnalare interventi del fornitore, accessi ancora attivi, modifiche pendenti e anomalie aperte; collegare il lavoro tecnico alla documentazione SMS/PMS.
Per aggiornamenti non eseguibili subito concordare con Company e maker misure temporanee e seguito documentato, valutando sia il rischio di vulnerabilità sia quello operativo della modifica.
Collegare preparazione cyber e gestione di avarie/blackout: un backup non fornisce energia né garantisce che il controllo alternativo sia indipendente.
Usare esercitazioni approvate, anche di discussione del caso, per verificare chi decide, chi comunica e come si dimostra il recupero. La guida IMO descrive Govern, Identify, Protect, Detect, Respond e Recover come attività continuative, non come una sequenza universale di comandi.
Separare requisito vigente, class/maker, SMS e guidance volontaria; non improvvisare prove, soglie o frequenze e registrare deviazioni e azioni correttive.

Checklist di preparazione

So quali funzioni OT e servizi essenziali sono interessati, con dipendenze e connessioni aggiornate.
Conosco ruoli autorizzati, gestione credenziali e modalità approvate di accesso del fornitore.
So dove trovare configurazione approvata, stato degli aggiornamenti e documentazione delle modifiche.
Conosco copie protette, istruzioni, strumenti e assistenza necessari per il recupero e le verifiche previste.
So riconoscere e segnalare anomalie e applicare il piano senza improvvisare riavvii o isolamento dei sistemi.
So distinguere scope IACS per nave/sistema dalle responsabilità SMS, con edizioni e contract date verificate.

FAQ

Esiste una UR E26 revision 2026?

Le edizioni verificate per questa scheda sono E26 Rev.1, novembre 2023, ed E27 Rev.1, settembre 2023. La data di una pagina o di un’ispezione non cambia la revisione dello strumento: controllare documento, Rules applicabili e contratto di costruzione.

Renewal Survey include automaticamente existing ships?

No. Il rinnovo da solo non porta una nave esistente nel ramo new ships delle UR. Verificare requisiti specifici di classe/bandiera o di modifica e le misure cyber del SMS applicabile; E26/E27 possono essere usate anche come guida non obbligatoria.

Qual è la guida IMO corrente?

MSC-FAL.1/Circ.3/Rev.4, datata 28 maggio 2026; documento ufficiale e pagina IMO Maritime cyber risk verificati. Le raccomandazioni supportano la gestione del rischio, con responsabilità e misure da integrare nel contesto nave/Company.

Un fornitore conosciuto può collegarsi quando vuole?

L’identità del fornitore non sostituisce autorizzazione, privilegi, supervisione e chiusura dell’accesso secondo gli accordi e le procedure applicabili. La nave deve conoscere attività ed effetti previsti; per le navi in scope, E26 tratta espressamente il controllo degli accessi remoti.

Un backup recente basta a garantire il recupero?

No. Servono contenuto pertinente, versioni compatibili, strumenti e istruzioni utilizzabili, persone responsabili e verifiche previste dal piano. Le prove di ripristino vanno organizzate in condizioni approvate, evitando di mettere a rischio l’impianto operativo.

Argomenti correlati

Revisione sostanziale certificata: 12 ottobre 2026 · impronta della pagina 997784befbc1