Европа требует сообщать, США — разделять IT и OT: shipping готовится к новым cyber rules

⚓️ В морской отрасли обсуждают, насколько новые требования к кибербезопасности применимы к реальной архитектуре действующих судов. Особенно заметна разница подходов ЕС и США.

🇪🇺 В Европе NIS2 делает сильный акцент на регистрации и сообщении о значимых киберинцидентах. Для попадающих под директиву судоходных компаний и портовых организаций предусмотрено раннее уведомление в течение 24 часов, подробное сообщение — до 72 часов, итоговый отчёт — в течение месяца.

🇺🇸 Американский USCG идёт дальше в сторону технической архитектуры. Для подпадающих под правила судов и объектов требуется сегментация IT и OT, а все соединения между ними должны журналироваться и контролироваться на подозрительную активность.

🔐 На практике это сложнее, чем просто разные VLAN. Нужно учитывать firewall, маршрутизацию, серверы с несколькими сетевыми интерфейсами, общие учётные записи и удалённый доступ производителей. Один неконтролируемый шлюз может фактически разрушить границу между IT и OT.

🚢 Главный вопрос для судовладельца: можно ли доказать, что компрометация Wi-Fi, офисной сети или удалённого доступа не даст атакующему путь к навигации, автоматике и другим OT-системам?

Для новых судов схожую логику security-by-design закрепляют IACS UR E26/E27.

Источники:
https://www.tradewindsnews.com/technology/shipping-players-question-if-stricter-cyber-rules-are-fit-for-purpose/2-1-2050372

https://www.news.uscg.mil/maritime-commons/Article/4033732/final-rule-cybersecurity-in-the-marine-transportation-system/

#MaritimeCybersecurity #OT #IT #NetworkSegmentation #NIS2 #USCG #IACS #E26 #E27