يُبحر النقل البحري اليوم في مياه مضطربة تولّدها التهديدات السيبرانية، باحثًا عن مسار مناسب وآمن يتيح نقل البضائع بحرًا. وفي ظل التفاوت الحالي بين بيئة السلامة والتطورات التقنية، يلزم تعاون جميع أصحاب المصلحة البحريين لمواجهة تحدي ضمان إدارة مناسبة للأمن السيبراني في النقل البحري. تهدف الورقة إلى وصف نظام فوقي لإدارة الأمن السيبراني البحري أثناء نقل البضائع بحرًا. يأخذ هذا النظام في الحسبان مستخدمي النظام ومصمّميه معًا، بما يضمن نهجًا شموليًا للأمن البحري أثناء التحول الرقمي. وأخيرًا، تعرض المؤلفة بنية نظام الأمن السيبراني الفوقي الذي يُشرك القوات المسلحة البولندية وخدمات الإنقاذ البحري وأصحاب المصلحة الأفراد المشاركين في تجارة الموانئ والبحر. والتطبيق العملي للنظام متجذّر في السفينة التقليدية، لكن المؤلفة تأخذ في الحسبان تطبيقه على سفن السطح البحرية ذاتية القيادة (MASS).
بدأ المجال البحري يتعايش مع المجال السيبراني الذي تطور نتيجة التحول الرقمي ووصل إلى العمليات البحرية بكامل إمكاناته. وفي المجال البحري الذي توسع ليشمل الفضاء السيبراني، يوجد أصحاب مصلحة بحريون يتميز كل منهم بسمات فردية فريدة تعكس طبيعة تنظيمه الداخلي وترتيب الأدوار والعلاقات المتبادلة بين مختلف المشاركين فيه. ويشكّل كل منهم نظامًا فرديًا لإدارة السلامة بهيكل تنظيمي ونظام موثق يتيح تنفيذ سياسات السلامة من قبل جميع العاملين وأصحاب المصلحة المتعاملين معه.
يولّد تعقيد العلاقات الخارجية والترتيبات الداخلية نظامًا معقدًا لإدارة الأمن السيبراني له هياكله الفريدة ذات الطبيعة التنظيمية والإجرائية والتقنية أثناء أداء المهام في البحر. وتشمل عناصر هذا النظام مصمّمي الأنظمة والمعدات والبرمجيات وقطع الغيار، إضافة إلى مستخدمي هذه الحلول المصممة والمنفذة، الذين يسهمون بجملة كفاءاتهم لإعداد حلول جديدة وتنفيذها بما يواكب التطور التقني وبيئة الأمن السيبراني.
يتألف العمل من أربعة فصول تشير إلى مراحل واحتياجات تطوير أنظمة إدارة الأمن، وتفضي في النهاية إلى تطوير بنية نظام فوقي لإدارة الأمن السيبراني: (1) تعريف المتطلبات الوظيفية المطلوب تنفيذها في نظام إدارة السلامة (SMS) من مالك السفينة التقليدية وفق أحكام مدونة ISM؛ (2) تنفيذ أحكام القرار MSC.428(98) في نظام SMS القائم، ولا سيما إدارة المخاطر السيبرانية؛ (3) بيان العناصر الرئيسية للنظام الفوقي لإدارة الأمن السيبراني باستخدام عمليات الإدارة؛ (4) وصف العناصر الكفيلة بضمان السلامة على طرق المواصلات البحرية التي ستُبحر فيها السفن التقليدية وسفن MASS معًا.
أُرسي معيار إدارة التشغيل الآمن للسفن بموجب اتفاقية SOLAS 74، المطبقة في الفصل التاسع من الاتفاقية. وألزمت أحكام مدونة ISM مالك السفينة أو الجهة المديرة نيابة عنه بإنشاء نظام لإدارة السلامة وتنفيذه وصيانته وتحسينه. ويُقصد بنظام إدارة السلامة «هيكل تنظيمي ونظام موثق يمكّن أفراد مالك السفينة من تنفيذ سياسات السلامة والبيئة بفعالية». وتتمثل العناصر التكوينية الرئيسية لنظام SMS فيما يلي: اللوائح الرسمية الدولية، ولوائح دولة العلم، ولوائح هيئات التصنيف، والمخاطر الأمنية وغير التقنية والبيئية، واللوائح الداخلية لمالك السفينة/المدير، واللوائح على المستوى المحلي.
لا يُسمح لمالك السفينة/المدير بتشغيل السفن ما لم يستوفِ أيضًا المتطلبات الوظيفية المحددة في مدونة ISM، والتي تشمل: سياسة السلامة والبيئة؛ والتعليمات والإجراءات الكفيلة بضمان التشغيل الآمن للسفن وحماية البيئة وفق التشريعات الدولية وتشريعات دولة العلم ذات الصلة؛ وتحديدًا دقيقًا للمهام وطرق الاتصال المتبادل بين الموظفين الشاطئيين وموظفي السفن، وتواصل هؤلاء الموظفين فيما بينهم؛ وإجراءات الإبلاغ عن الحوادث وإجراءات الإبلاغ عن عدم المطابقة؛ وإجراءات التشغيل والتأهب للطوارئ؛ وإجراءات التدقيق الداخلي ومراجعة نظام الإدارة.
تُعد مدونة ISM أداة ملائمة في هذا المجال لتوسيع نطاق أحكامها. لذلك أصبح تنفيذ حلول الأمن السيبراني عبر أحكام مدونة ISM هو الحل الصحيح: فأحكام هذه الوثيقة الدولية صارمة التنفيذ لكنها مرنة بما يكفي لتمكين ملاك السفن/المديرين من تنفيذ أحكامها مع مراعاة خصوصية عملياتهم وأنواع السفن التي يديرونها. وقد فرضت رقمنة الصناعة البحرية ضرورة تنفيذ حلول لضمان الأمن السيبراني في البحر، ومن ثم يبدو القرار MSC.428(98)، بصيغته المدمجة في مدونة ISM، الخطوة الأولى نحو نهج منظومي لضمان المستوى المناسب من الأمن السيبراني للسفن التقليدية وللسفن المُشغَّلة عن بُعد أو ذاتية القيادة بمختلف مستويات الاستقلالية.
أدى إدخال أحكام القرار في نظام SMS إلى ضرورة تنفيذ مالك السفينة/المدير لأساليب إدارة المخاطر السيبرانية. كما توسعت المتطلبات الوظيفية بإضافة القضايا التالية المتعلقة بضمان إدارة الأمن السيبراني، عبر: وضع سياسة لإدارة الأمن السيبراني؛ وإعداد إجراءات إدارة الأمن السيبراني وتنفيذها؛ وتحديد موارد الأمن السيبراني وأصوله في مكتب إدارة/مالك السفينة البحرية وعلى متن السفن مباشرة؛ وضمان وسائل وقنوات اتصال مناسبة؛ وضمان إمكانية الإبلاغ عن الحوادث وتحليلها والاستجابة لها؛ وتحديد التهديدات وتقييم المخاطر الناشئة عن استخدام الفضاء السيبراني؛ وتحديد فرص تحسين الحلول المنفذة عبر التدقيق المنهجي لنظام الإدارة ومراجعات إدارة SMS.
تُعرَّف إدارة المخاطر السيبرانية بأنها عملية تكرارية تتكون من: تحديد المخاطر السيبرانية وتحليلها وتقييمها والإبلاغ عنها، وقبول المخاطر أو نقلها أو تجنبها أو تقليلها إلى مستوى مقبول مع مراعاة التكاليف والفوائد. وقد فُككت مراحل إدارة المخاطر السيبرانية في النقل البحري إلى أربع مراحل رئيسية، تماشيًا مع نهج إدارة أمن البنية التحتية الحرجة: منع التهديدات السيبرانية؛ والاستعداد للتهديدات السيبرانية؛ والاستجابة للتهديدات السيبرانية؛ واستعادة القدرة على أداء المهام.
تكتسي الإدارة السليمة للمخاطر السيبرانية أهمية خاصة لأن سفن MASS ستدخل الخدمة قريبًا في الرحلات الدولية، وستُبحر سفن MASS والسفن التقليدية في المنطقة البحرية نفسها لكن بوعي ظرفي مختلف. ومن الجدير بالذكر أن قضايا الأمن السيبراني لم تُعالَج في مدونة MASS، ومن ثم يبدو أن مدونة ISM، إلى جانب قرارات المنظمة البحرية الدولية (IMO) الموسعة، ستدعم سلامة عمليات MASS وكذلك السفن التقليدية.
يحتاج مشروع «البحر الرقمي» قيد التطوير، الذي ستُبحر فيه سفن MASS في الغالب لتحل محل السفن التقليدية تدريجيًا، إلى نظام يعلو هرميًا على النهج المنظومي لإدارة السلامة البحرية والأمن السيبراني المعتمد حتى الآن. فبتوسيع فهم أنظمة الإدارة، تبني المؤلفة نظامًا فوقيًا لإدارة الأمن السيبراني في النقل البحري أثناء التحول الرقمي للشحن، الذي تقف على عتبته سفن MASS بمختلف مستويات الاستقلالية.
يشمل النظام الفوقي لإدارة الأمن السيبراني البحري عناصر لم تُدرَج سابقًا في بنية أنظمة إدارة الأمن والسلامة، لكنه متجذر بقوة في الكفاءة العالية المعهودة لوظائفها، وهي التي تحدد بناء النظام الفوقي. وقد ضمّت هياكله مصمّمي الأنظمة والمعدات والبرمجيات وقطع الغيار وغيرهم، إضافة إلى مستخدمي هذه الحلول المصممة والمنفذة. ويصمم المصممون — مصممو الشبكات والأنظمة والمعدات والبرمجيات والسفن والبنية التحتية للموانئ ومصممو ومنفذو أنظمة CCTV وغيرهم — استنادًا إلى البيانات ومجموعات الكفاءات، ليُشكّل المستخدمون القريبون والبعيدون للنظام نوعًا من النظام الفوقي، المبني من المتطلبات الوظيفية لتنفيذ النقل البحري عالميًا.
يُثبَّت عمل النظام الفوقي في عصر الثورة التقنية في البحر بسلسلة أنشطة على شكل تنفيذ عمليات تربط عناصر النظام الفوقي ببعضها: الأولى التخطيط (تطوير الاستراتيجيات وخطط العمل، وتحليل البيئة، وتقييم الموارد، والتنبؤ بالأحداث)؛ والثانية التنظيم (ترتيب الموارد وتخصيصها، وتعريف الهيكل التنظيمي والأدوار والمسؤوليات والأصول)؛ والثالثة التوجيه (التحفيز والتواصل والإشراف على تنفيذ المهام، وتحديد الشذوذات والمشكلات ومعالجتها)؛ والأخيرة المراقبة وتقييم النتائج (مقارنة النتائج بالافتراضات، وتحديد الانحرافات عن المعيار، والإشراف على اتخاذ إجراءات في الوقت المناسب وبالشكل الملائم).
أصبح المجال السيبراني للنقل البحري بيئة معقدة من العلاقات بين موارده، تشكّل تسلسلًا منطقيًا من الإجراءات المتعاقبة والأنشطة المتوازية التي يؤدي تنفيذها إلى إنجاز المهام الناشئة عن تنفيذ النقل البحري. وتتمثل النقاط المحورية الرئيسية للنقل البحري في وسيلة النقل — أي السفينة التي تحمل مختلف أنواع البضائع — ونقطة الالتقاء بين البر والبحر حيث تُفرَّغ البضائع — أي الميناء البحري. فالميناء البحري، نظرًا للكمية الكبيرة من المعلومات التي يعالجها لضمان التجارة العالمية والعمليات المينائية، مركز معلوماتي؛ والسفينة بكل إمكاناتها البيانية التي تستخدمها لضمان سلامة الملاحة وتشغيل السفينة ومناولة البضائع المنقولة مركز معلوماتي أيضًا.
عند تعريف عمليات الإدارة في نظام إدارة الأمن السيبراني، من المهم اعتبار السفينة/الوحدة البحرية والمنشأة المينائية مركز النظام. غير أنه لضمان تنفيذهما للمهام، يتكون نظام إدارة الأمن السيبراني البحري من الأنظمة التالية التي تشكّل البيئة الخارجية: نظام الدفاع عن الطرق البحرية في الاتصالات والفضاء السيبراني؛ ونظام مراقبة حركة السفن وإدارتها؛ ونظام إدارة الإدارة الحكومية (الشحن)؛ ونظام حماية الحدود البحرية الوطنية؛ ونظام الأمن السيبراني للشبكات والأنظمة؛ ونظام البحث والإنقاذ البحري؛ ونظام الاتصالات التشغيلية والإنذار.
مع اشتداد التطور التقني في الصناعة البحرية، تختفي أنظمة إدارة سلامة السفن والمنشآت المينائية الموسعة لتشمل قضايا الأمن السيبراني في سياق سفن MASS، لأن هذا النظام سيدعم MASS من المستويين الثالث والرابع اللذين سيتطلب مستوى استقلاليتهما تنظيم مراكز تشغيل عن بُعد (ROC) والنظر في الاستجابة عند تعطل نظام تشغيل MASS أو مركز التشغيل عن بُعد نفسه. وقد أُدرجت عناصر جديدة في نظام إدارة الأمن السيبراني للنقل البحري بسفن MASS لتمكين الأنشطة التشغيلية بالمستوى المناسب من سلامة ملاحة MASS، وكذلك زيادة الأتمتة والاستقلالية في المنشآت المينائية التي تستهدفها سفن MASS.
أتاحت مادة البحث المتراكمة إعداد عمليات الإدارة، استنادًا إلى المتطلبات الوظيفية التي تمكّن من استخدام النهج النظمي لضمان الأمن السيبراني في النقل البحري، والتي أُعدّت في النهاية إدارة النظام الفوقي للسلامة في البحر (في النقل البحري). وقد تجذّر ذلك في حقيقة أن نظام إدارة الأمن السيبراني البحري نظامٌ مكوَّن من أنظمة منفصلة أخرى مترابطة بعلاقات متبادلة، تختلف في خصوصياتها، لكن ثمة عمليات مشتركة توجّه أصحاب المصلحة البحريين لأداء مهامهم الموكلة في النقل البحري وهي بالغة الأهمية لنجاحها: التخطيط والإنشاء والتنفيذ والصيانة والتحسين.
أُولي الاهتمام لدور الأنظمة التي تشكّل نظام إدارة السلامة المُعدّ الموسّع ليشمل أنظمة إدارة الأمن السيبراني. وأسفر البحث عن إعداد النظام الفوقي الذي يكون الإنسان فيه هو المركز، بغض النظر عن مستوى الأتمتة: إنسان يتخذ القرارات ويشرف على حركة السفينة ويراقب التشغيل الآمن للسفينة، ومن ثم ينفّذ عمليات الإدارة. وفي نظام إدارة الأمن السيبراني الفوقي، يلعب الإنسان (كمصمّم) دورًا مهمًا في بناء مفهوم النظام، إذ يصمم — مع فريقه الكامل من الكفاءات — الأجهزة والشبكات والأنظمة والبرمجة التي يشغّلها بعد ذلك كمستخدم.
إن زمن التحول الرقمي في الشحن، حيث تلتقي التقاليد بالحداثة، محفوف بشتى الاضطرابات، ويولّد شعورًا بعدم الألفة مع التغيرات الجارية وعدم اليقين في بُعد جديد غير مستكشف. لذلك تدرك المؤلفة، في ختام بحثها، أنها لم تستنفد الموضوع، وتأمل أن يطوّره ويواصله باحثون آخرون — ولا سيما بمراعاة الحاجة في البحوث المستقبلية إلى الحفاظ على التوازن بين تطوير الاستقلالية في الشحن والابتكار في التقدم التقني من جهة، وبيئة السلامة والأخلاقيات والتقدم من جهة أخرى، مع مراعاة حدود القدرة البشرية والاستخدام الرشيد للتقنية في بيئة تضع فيها الطبيعة قوانينها.
Nowadays, maritime transportation is "navigating" the rough waters generated by cyber threats, trying to find a suitable and safe route to allow cargo to be transported by sea. At the current time, when there is a disharmony between the safety environment and technological developments, the willingness of all maritime stakeholders to work together is needed to meet the challenge of ensuring proper cybersecurity management in maritime transportation. The aim of the paper is to describe the metasystem for maritime cybersecurity management during carriage of goods by sea. This system takes into account both users and designers of the system. This ensures a holistic approach to maritime security during digital transformation. Finally, the author presents the structure of the meta-cybersecurity system involving the Polish Armed Forces, sea rescue services and individual stakeholders participating in port and sea trade. The practical use of the system is rooted in the conventional vessel but the author takes into account application of the system for maritime autonomous surface ships.
The maritime domain has begun to coexist with the cybersecurity domain, which has developed as a result of digital transformation and has reached offshore operations with all its potential. In the maritime domain, expanded to include cyberspace, there are maritime stakeholders, each characterized by individual, unique attributes reflecting the nature of their internal organization, the arrangement of roles and the mutual relations between their various participants. Each of them constitutes an individual safety management system with an organizational structure and a documented system enabling the implementation of safety policies by all personnel and cooperating stakeholders.
The complexity of external relations and internal arrangements generates a complex cybersecurity management system with its own unique organizational, process and technological structures for performing duties at sea. Its elements include designers of systems, equipment, software, spare parts, etc., as well as users of these designed and implemented solutions, who contribute their competencies to prepare and implement new solutions adapting technological development and the cybersecurity environment.
The work consists of four chapters indicating the stages and needs of security management system development, ultimately leading to a cybersecurity management metasystem: (1) defining the functional requirements for implementation in the SMS by the shipowner of a conventional ship in accordance with the ISM Code; (2) implementing Resolution MSC.428(98) into the established SMS, in particular cyber risk management; (3) indicating the main elements of the cybersecurity management metasystem using management processes; (4) describing elements ensuring safety on maritime routes navigated by both conventional and MASS vessels.
The standard for managing the safe operation of ships was established by SOLAS '74, implemented in Chapter IX of the Convention. The ISM Code obligated the shipowner or managing entity to establish, implement, maintain and improve a safety management system. SMS means "an organizational structure and documented system that enables the shipowner's personnel to effectively implement safety and environmental policies." Its main formative elements are: international formal regulations, vessel flag-state regulations, classification society regulations, security, non-technical and environmental risks, internal shipowner/manager regulations, and local-level regulations.
A shipowner/manager may not operate ships without meeting the functional requirements of the ISM Code, which include: a safety and environmental policy; instructions and procedures ensuring safe ship operation and environmental protection in conformity with relevant international and flag-state legislation; defined duties and lines of communication between shore-based and ship-based personnel; accident and non-conformity reporting procedures; operation and emergency preparedness procedures; and procedures for internal audits and management reviews.
The ISM Code is well placed as an instrument for expanding its provisions, so implementing cybersecurity solutions through the ISM Code has become the right approach: its provisions are rigorous yet versatile enough for shipowners/managers to implement them according to their operations and vessel types. The digitalization of the maritime industry has forced the need for cybersecurity at sea; therefore Resolution MSC.428(98), as incorporated into the ISM Code, appears to be the first step towards a systemic approach ensuring an appropriate level of cybersecurity for conventional vessels and for remote or autonomous operations at various levels of autonomy.
Introducing the resolution into the SMS created the need for shipowners/managers to implement cyber risk management methods, expanding the functional requirements with: establishing a cybersecurity management policy; preparing and implementing cybersecurity management procedures; identifying cybersecurity resources and assets both in the owner's office and directly on ships; ensuring proper means and channels of communication; ensuring incidents can be reported, analyzed and responded to; identifying threats and assessing risks arising from cyberspace use; and identifying opportunities to improve implemented solutions through systematic audits and SMS management reviews.
Cyber risk management is defined as an iterative process of identifying, analyzing, assessing and communicating cyber risk, and accepting, transferring, avoiding or reducing risk to an acceptable level while considering costs and benefits. Its stages in maritime transport decompose into four main stages, in line with critical infrastructure security management: preventing cyber threats; preparing for cyber threats; responding to cyber threats; and recovering the ability to perform tasks.
Proper cyber risk management matters particularly because MASS will soon enter international service, and MASS and conventional vessels will proceed in the same sea areas but with different situational awareness. Notably, cybersecurity issues are not addressed in the MASS Code; the ISM Code, together with expanded IMO resolutions, is therefore expected to support the safety of both MASS and conventional ship operations.
The "digital sea" project under development, on which MASS will mostly sail while gradually replacing conventional ships, needs a system hierarchically superior to the systemic approach to maritime safety and cybersecurity management adopted to date. By extending the understanding of management systems, the author builds a metasystem for managing cybersecurity in maritime transportation during the digital transformation of shipping, on whose threshold stand MASS with various levels of autonomy.
The metasystem for maritime cybersecurity management includes elements not previously included in safety and security management system structures, yet it is firmly rooted in their proven high functionality, which determines the metasystem's construction. Its structures include designers of systems, equipment, software, spare parts, etc., as well as users of these designed and implemented solutions. Designers — network, systems, equipment, software, ship, port infrastructure, CCTV designers and builders — design on the basis of data and competence sets so that the nearer and farther users of the system form a kind of metasystem built from functional requirements to execute maritime transportation globally.
The metasystem's functioning in the age of the technological revolution at sea is pinned down by a sequence of activities implementing processes that link its elements: first planning (strategies and action plans, environment analysis, resource assessment, event forecasting); second organizing (arranging and allocating resources, defining structure, roles, responsibilities and assets); third directing (motivating, communicating, supervising task implementation, identifying anomalies and handling disturbances); and finally monitoring and evaluating results (comparing results with assumptions, identifying deviations, overseeing timely and appropriate action).
The maritime transportation cyber-domain has become a complex environment of relationships between its resources, forming a logical sequence of consecutive and parallel activities whose execution accomplishes maritime transportation tasks. The main focal points of maritime transportation are the means of transport — the ship carrying cargo — and the land-sea interface where goods are transshipped — the seaport. A seaport, given the volume of information it processes to ensure global trade and port operations, is an information hub; and a vessel, with all its data potential used to ensure navigational safety, ship operation and cargo handling, is likewise an information hub.
When defining management processes in a cybersecurity management system, the ship/marine vessel and the port facility must be considered the center of the system. To enable their tasks, the maritime cybersecurity management system comprises the following external-environment systems: the system for defending maritime routes in communications and cyberspace; the ship traffic surveillance and management system; the government administration (shipping) management system; the maritime national border protection system; the networks-and-systems cybersecurity system; the maritime search and rescue system; and the operational communications and alert system.
With intensifying technological development, the ship and port facility safety management systems extended with cybersecurity disappear in the MASS context, since the system will support MASS autonomy levels 3 and 4, which require remote operation centers (ROC) and responses to disruptions of the MASS operating system or the ROC itself. New elements have been added to the MASS maritime transportation cybersecurity management system to enable operations at the appropriate MASS navigational safety level, and increased automation and autonomy are likewise included at MASS-serving port facilities.
The accumulated research material enabled the preparation of management processes, based on functional requirements that allow a systems approach to cybersecurity in maritime transportation, culminating in a safety metasystem management at sea. The system is rooted in the fact that the maritime cybersecurity management system is made up of other separate, mutually related systems differing in specifics, but bound by common processes guiding maritime stakeholders in their assigned transportation tasks — planning, establishing, implementing, maintaining and improving — which are critically important for their success.
Attention was paid to the role of the systems constituting the safety management system extended into cybersecurity management systems. The research produced a metasystem in which the center, regardless of automation level, is the human being who decides, supervises ship movement and monitors safe operation, thus performing management processes. In the cybersecurity management metasystem, the human as designer plays a significant role in building the system's concept, designing — with a full team of competencies — the devices, networks, systems and software later operated as a user.
The time of digital transformation in shipping, where tradition meets modernity, is fraught with disruptions, creating unfamiliarity with ongoing change and uncertainty in a new, unexplored dimension. The author therefore concludes understanding that the topic is not exhausted, hoping other researchers will develop and continue it — especially by maintaining a balance between autonomy development, technological innovation and the safety environment, ethics and progress, considering the limits of human capability in extreme conditions and the rational use of technology in an environment where nature sets its laws.