أدت الهجمات السيبرانية المزعجة بشكل متزايد في المجال البحري إلى تركيز المزيد من الجهود على تعزيز المرونة السيبرانية. من منظور تنظيمي، هناك اشتراط بأن ينفذ أصحاب المصلحة البحريون تدابير تمكّن الكشف المبكر عن الأحداث السيبرانية، مما أدى إلى اعتماد مراكز العمليات الأمنية البحرية (M-SOCs). وفي الوقت نفسه، تُناقش مراكز العمليات عن بُعد (ROCs) لتمكين الاعتماد المتزايد على التقنيات المؤتمتة والمستقلة بدرجة عالية، مما قد يؤثر بشكل أكبر على سطح هجوم السفن. كان الهدف الرئيسي من هذا البحث هو فهم العوامل التمكينية والتحديات المؤثرة على فعالية عمليات M-SOC بشكل أفضل. أُجريت مقابلات شبه منظمة مع تسعة خبراء في M-SOC. وبإرشاد من النظرية المجذرة، برزت إدارة الحوادث كفئة محورية. ومن خلال التركيز على العوامل التي تجعل عمليات M-SOC مهمة فريدة، تتمثل المساهمة الرئيسية لهذه الدراسة في إبراز كيفية تأثير تحديات الاتصال البحري والمعرفة بالمجال على عملية إدارة الحوادث في M-SOC. بالإضافة إلى ذلك، ربطنا النتائج بمستقبل يمكن أن تتقارب فيه عمليات M-SOC وROC.
شهدت قطاعات البنية التحتية الحرجة انتشارًا متزايدًا لمنظومات إنترنت الأشياء (IoT) التي تضم حساسات ومشغلات للتواصل مع الأنظمة الفيزيائية. تساعد هذه المنظومات على تحسين العمليات الآنية ورفع كفاءتها [1]. وتُعد الصناعة البحرية، المحددة كقطاع بنية تحتية حرجة بموجب توجيه أمن الشبكات والمعلومات (NIS-2) [2]، عنصرًا أساسيًا في التجارة العالمية والاقتصاد العالمي، إذ تنقل ما يقارب 90% من بضائع العالم. وقد تم ذلك تاريخيًا على سفن ذات اتصال محدود بسبب قيود العمل عبر شبكات الأقمار الصناعية، التي تشمل عيوبها عرض النطاق المحدود، وتأخر الانتشار المرتفع، ومعدلات أخطاء الحزم المرتفعة، وتكاليف الإعداد الأولية الباهظة، وتكرار انقطاع الوصلات [3]. غير أن مشهد الاتصال يتغير بسرعة مع دخول كوكبات الأقمار الصناعية التجارية منخفضة المدار واسعة النطاق، مما أدى إلى الرقمنة والأتمتة السريعة للمجال البحري.
في قلب موجة الرقمنة هذه يقع إنترنت الأشياء (IoT) الذي تمكّنه وفرة الحساسات، مما أنتج أنظمة رقمية معقدة على متن السفن الحديثة وفي البنية التحتية للموانئ الشاطئية. وموجة الرقمنة ذاتها أساسية أيضًا للتقدم الأخير في تطوير السفن المستقلة. فلضمان تشغيلها الآمن، ستعتمد السفن المستقلة بشكل متزايد على تقنية الحساسات للتحكم في الدفع وتخطيط المسار والوعي الظرفي وتجنب الاصطدام [4،5]. وتمنح الكمية الهائلة من البيانات التي تولدها هذه الحساسات مشغلي السفن والموانئ فرصة تحسين عملياتهم. ومن التطبيقات المبتكرة للبيانات الضخمة البحرية المراقبة عن بُعد للسفن، والتنبؤ بالطلب، والصيانة التنبؤية، وتطوير التوائم الرقمية [6]. ومن الأمثلة على ذلك ميناء هامبورغ الذي يستخدم بيانات أكثر من 300 حساس للمساعدة في مراقبة السفن ومركبات الميناء، مما أسهم في تقليل الوحدات الخاملة وبالتالي خفض انبعاثات الكربون ورفع كفاءة عمليات الميناء [7].
أثارت مستويات الاتصال المتحسنة باستمرار واعتماد إنترنت الأشياء المتزايد مخاوف لدى الدول المشغلة للبنية التحتية ومشغلي البنية التحتية على حد سواء بشأن الحاجة إلى مرونة سيبرانية أفضل للبنية التحتية الحرجة في المجال البحري، ولا سيما السفن. وذلك لأن وضع «العزل الافتراضي عن الشبكة» للسفن، الذي فرضته محدودية عرض النطاق المتاح سابقًا، عنى أن الأنظمة على متن السفن لم تُصمم مع مراعاة الأمن السيبراني. ويعني اتساع سطح هجوم التهديدات أن الهجوم الناجح قد تكون له عواقب وخيمة على السلامة العامة والاستقرار الاقتصادي والشواغل البيئية [8]. ولتعزيز هذه المخاوف، سألت DNV في أوائل عام 2023 عدد 800 متخصص بحري عن آثار الهجمات السيبرانية التي يتوقعون رؤيتها خلال 1–2 سنة قادمة. إذ اعتقد 80% من المستجيبين بإغلاق ميناء أو ممر مائي رئيسي، و68% بجنوح سفينة، و60% بوقوع اصطدام، و56% بوقوع إصابة جسدية أو فقدان للأرواح [9،10]. أما بالنسبة للسفن المستقلة، فقد صُنفت الهجمات السيبرانية ضمن أبرز المخاطر التي تواجهها [5]. ومن منظور المجرم السيبراني، يمثل مشهد التهديدات هذا فرصة لإحداث أقصى ضرر بأدنى جهد. وقد وُثقت هجمات سيبرانية على بنية تحتية حرجة في مجالات أخرى حرجة للسلامة، مثل هجوم Stuxnet عام 2010 على منشأة نووية إيرانية، واختراق شبكة الكهرباء الأوكرانية عام 2015، وهجوم برامج الفدية على خط أنابيب Colonial عام 2021 [11،12].
جعل الاتصال المحسّن عنصرًا أساسيًا في وظائف السفن الحيوية مثل الملاحة، التي أصبحت تعتمد بشكل متزايد على الحاسوب. وتعتمد السفن الحديثة اليوم اعتمادًا كاملًا على أنظمة الملاحة العالمية عبر الأقمار الصناعية (GNSS) لتحديد المواقع والملاحة والتوقيت بدقة، وتكملها حساسات مترابطة ضمن ما يُعرف بنظام الجسر المتكامل. وقد أظهرت الدراسات أن هذه الشبكات والأنظمة لم تُصمم أصلًا مع مراعاة الأمن، وأنها معرضة بشكل متزايد للهجمات السيبرانية التي تقوض سلامة السفينة وطاقمها [14]. فعلى سبيل المثال، قيّمت دراسة [15] الوضع السيبراني لنظام ملاحة متكامل (INS) على سفينة دحرجة ما تزال عاملة، وتمكن الباحثون باستخدام ماسح ثغرات واسع الانتشار من تحديد أربع ثغرات حرجة منها نسخة قديمة من خدمة كتل رسائل الخادم (SMB)، التي استُغلت سابقًا في هجوم برامج الفدية المدمر NotPetya الذي أثر على مشغلين بحريين مثل Maersk [16]. وصُنفت بروتوكولات شبكية رئيسية تستخدمها السفن البحرية — مثل TCP/IPv6 وCAN Bus وNMEA 0183 وAIS — كلها بأنها عالية المخاطر من هجمات الحرمان من الخدمة (DoS) والانتحال والتجسس على الحزم وهجمات الترحيل [18]. كما سُجلت أحداث انتحال حقيقية لنظام GNSS: ففي عام 2017 أظهر نظام GPS لسفينة قبالة ساحل نوفوروسيسك-روسيا أنها داخل اليابسة قرب مطار غيليندجيك، وتبين لاحقًا أن المشكلة أثرت على 20 سفينة أخرى في المنطقة ونُسبت إلى هجوم انتحال GPS روسي [23]؛ وفي عام 2019 احتُجزت ناقلة النفط البريطانية Stena Impero وطاقمها بعد انجرافها إلى المياه الإيرانية، ويُعتقد لاحقًا أن ذلك نجم عن انتحال إشارات GPS. وتوضح هذه الأمثلة كيف يمكن لجانب يبدو حميدًا من الرقمنة البحرية — الاتصال المحسّن — أن يؤدي إلى زيادة كبيرة في سطح هجوم التهديدات، وأن يعرض سلامة الطاقم لخطر شديد في بعض الحالات. وحوّل ذلك التركيز إلى دور التنظيم: فقد اعتُمد على التنظيم بشدة لتحسين السلامة [25]، لكن غياب أي تنظيم ملزم حتى عام 2017 ترك المجال عرضة لهجمات معطلة كما شوهد في هجوم NotPetya عام 2017 الذي أثر بشدة على عمليات Maersk [16]. غير أن المنظمة البحرية الدولية (IMO) أقرت متطلبات سيبرانية جديدة دخلت حيز النفاذ في عام 2021 [26،27] بهدف التحسين السريع للنضج السيبراني المتأخر للصناعة، وبدعم قوي من أصحاب المصلحة البحريين الرئيسيين مثل BIMCO [28] وDNV [29] وBureau Veritas [30] والرابطة الدولية لهيئات التصنيف (IACS) [31،32]. وتدعو إرشادات الأمن السيبراني البحري الصادرة عن IMO أصحاب المصلحة إلى تنفيذ تدابير تمكّن الكشف المبكر عن التهديدات السيبرانية [26،27]. ومع ذلك، توجد فجوة معرفية حول الوضع الراهن لهذا التنفيذ. لذا تهدف هذه الدراسة إلى سد تلك الفجوة من خلال التحقيق في استجابة الصناعة للكشف المبكر عن التهديدات السيبرانية من منظور مراكز العمليات الأمنية البحرية (M-SOCs). وتسعى الدراسة تحديدًا للإجابة عن السؤال البحثي التالي: ما العوامل التمكينية والتحديات التي واجهتها مراكز M-SOC في سعيها لتيسير الكشف المبكر عن الأحداث السيبرانية؟ ثم تُربط نتائج هذا السؤال البحثي بمستقبل تصبح فيه مراكز العمليات عن بُعد (ROCs) للسفن المستقلة أكثر انتشارًا.
تُعد مراكز العمليات الأمنية (SOCs) جزءًا لا يتجزأ من عملية الاستجابة للحوادث الأمنية في المنظمة، وتعتمد فعاليتها على وضوح الرؤية في شبكات وأنظمة المؤسسة، والوصول إلى استخبارات التهديدات القابلة للتنفيذ، وقدرات التحليل الجنائي والتحليلية [33]. وعادة ما يرتبط تنفيذها بضرورة تلبية متطلبات الأعمال أو المتطلبات التنظيمية أو كليهما. وقد تم اعتماد M-SOCs من قبل مشغلي السفن لتلبية المتطلبات التجارية والتنظيمية معًا. فمن منظور الأعمال، تُعد الحوادث المتزايدة للهجمات السيبرانية التي تستهدف المجال البحري مدعاة للقلق؛ فالسفن لا تدر المال إلا وهي مبحرة، وبالتالي فإن احتمال تعطل عمليات السفينة بهجوم سيبراني سيكون مدمرًا للأرباح. ومن منظور تنظيمي، يدعو تنظيم IMO للأمن السيبراني [26،27] إلى الكشف المبكر عن الشذوذ السيبراني من قبل أصحاب المصلحة في المجال. لذا فإن M-SOCs في وضع جيد لتلبية الحاجتين معًا، ومن هنا اعتمادها المتزايد. وفيما يتعلق بالمرونة السيبرانية للسفن، تهدف M-SOCs إلى مراقبة أنظمة تكنولوجيا المعلومات (IT) وتكنولوجيا التشغيل (OT) على متن السفن آنيًا لرصد أي شذوذ سيبراني. غير أن اعتمادها الحديث نسبيًا يعني أن مجموعة الأبحاث التي تتناولها بدأت للتو في الظهور. واقترح بحث [34] أربع كتل أساسية لمراكز M-SOC كاملة القدرة: مدير السفينة-الشاطئ (SSM) الذي يضمن استلام جميع البيانات المجمعة على متن السفينة في الشاطئ ضمن حدود عرض النطاق المحددة؛ والمعالج المركزي الذي يساعد في ترشيح وتطبيع وتحويل جميع تنبيهات البيانات الوصفية والسجلات المستلمة من السفينة؛ ومخزن البيانات الذي يُتصور كمحرك بيانات ضخمة؛ ومدير عرض النطاق الذي يساعد في مراقبة إعدادات عرض النطاق لمختلف السفن.
ومع الإقرار الواسع باتساع سطح هجوم التهديدات، يتمثل أحد الشواغل الناشئة في النقص المقلق في موظفي الأمن السيبراني المؤهلين سواء على متن السفن أو في الشاطئ، القادرين على التعامل ليس فقط مع أمن تكنولوجيا المعلومات (IT) بل أيضًا مع أمن تكنولوجيا التشغيل (OT) [10،35،36]. ومما يفاقم هذه المشكلة عدم وجود إرشادات رسمية للتدريب على الأمن السيبراني في اتفاقية معايير التدريب والإجازة والخفارة للبحارة (STCW) [37]. ومع نقص المهارات السيبرانية المذكور في المجال البحري، فليس من المستغرب أن أحد موضوعات أبحاث M-SOC الشائعة كان تعزيز مهارات محللي M-SOC، إذ أوصت إحدى الدراسات بتطبيق إطار المبادرة الوطنية لتعليم الأمن السيبراني (NICE) الصادر عن NIST [38] لتحديد المهارات والمعارف والأهداف التدريبية لمشغل M-SOC [39]. واقترح بحث [40] استخدام الميادين السيبرانية لتوفير سيناريوهات تدريب محللي M-SOC مصممة خصيصًا للمجال البحري. وعلى الرغم من وجود تطبيقات SOC في مجالات بنية تحتية حرجة أخرى، فإن للمجال البحري خصائص فريدة تؤثر على التشغيل الفعال لمراكز M-SOC. فضعف الاتصال في البحر عنى لفترة طويلة أن أفضل دفاع للسفينة كان العزلة، مما أدى إلى عدم بذل جهد كافٍ لتصميم أنظمة آمنة سيبرانيًا. ومع العمر التشغيلي الطويل للسفن وطبيعة المجال الواعية بالتكلفة [41]، أصبحنا أمام وضع تعتمد فيه غالبية السفن المبحرة اليوم اعتمادًا كبيرًا على المعدات القديمة، ولا سيما أنظمة OT. وهذه مشكلة لمراكز SOC، إذ أبرز تقرير SANS الأخير [42] أن التكامل التقني للأنظمة القديمة مع أنظمة IT الحديثة كان أكبر تحدٍ واجهته المنظمات. وبالتالي يجب أن تدرك M-SOCs أن وضوح رؤيتها لأنظمة السفن وفعالية مراقبتها اللاحقة قد يعوقهما تحد التكامل التقني هذا. وعلى الرغم من ملاحظة تحسنه [43]، يظل الاتصال البحري تحديًا مقارنة بالاتصال الشاطئي، لذا يجب أن تستعد M-SOCs لاحتمال محدودية عرض النطاق وتحديات التكامل التقني التي قد تعوق قدرتها على المراقبة الآنية للسفن.
إن السفينة نفسها، في أي وقت، مزيج من السمات الثابتة والديناميكية. وتتمثل السمات الثابتة أبرز ما تتمثل في تعدد أنواع السفن العاملة، وكل منها فريد في تصميمه [44]. كما يتعين على M-SOCs التعامل مع كون السفن في حركة مستمرة، مما يعني أن المعلومات السياقية تلعب دورًا كبيرًا في نوع التنبيهات المرصودة وحجمها. ولا يقتصر استخدام المعلومات السياقية في عملية الاستجابة للحوادث على M-SOCs، بل هو إجراء شائع في عمليات SOC وطُبق من قبل SOCs في مجالات أخرى. وأبرز استطلاع SANS لمراكز SOC عام 2023 [45] أن الافتقار إلى السياق من أكبر العوائق أمام الاستفادة الكاملة من قدرات SOC. وتلعب المعلومات السياقية في المجال البحري دورًا حاسمًا أثناء عملية الاستجابة للحوادث، وذلك أساسًا لأن الأصل المراقب في حركة مستمرة، مما يعرضه لنطاق أوسع من التهديدات. فعلى سبيل المثال، إحدى فئات المعلومات السياقية التي يمكن استخدامها هي الموقع الجغرافي للسفينة، وهي سمة ديناميكية يمكن تعريفها بأنها محيط مفتوح أو ساحلي أو ميناء أو ممرات مائية مقيدة أو ممرات مائية داخلية [46]. إن تحديات الاتصال وحالات السفن الديناميكية من السمات الرئيسية التي تجعل عمليات M-SOC مهمة فريدة، وبالتالي لا يمكن تجاهل هذه السمات الخاصة بالمجال البحري لفهم M-SOCs فهمًا كاملًا.
على الرغم من أن اعتماد M-SOCs يقتصر حاليًا على مراقبة سفن السطح التقليدية المأهولة، فإن مستقبل الشحن يتحرك تدريجيًا نحو السفن المستقلة، وبالتالي لا تكتمل أي مناقشة حول M-SOCs دون النظر إلى المستقبل حيث ستُكلف بمراقبة السفن المستقلة وما يترتب على ذلك من آثار. وتشمل الفوائد المحتملة المنسوبة للسفن المستقلة توفير تكاليف الوقود وتوفير تكاليف الطاقم وتحسين سلامة الطاقم وتقليل الانبعاثات. وسيصاحب إدخال هذه السفن المستقلة إعادة تصميم كبيرة لنماذج تشغيل الأسطول، أبرزها إدخال مراكز العمليات عن بُعد (ROCs) [47]، التي يُشار إليها أيضًا بمراكز التحكم الشاطئية [48]، والتي ستمكّن من إشراف أكبر على السفن وتمكّن شركات الشحن من التحكم الشاطئي بأصولها بشكل أكبر. ومن الوظائف المقترحة لمراكز ROC مراقبة العمليات الفيزيائية على متن السفينة، والتحكم في الملاحة، وتولي التحكم أثناء الطوارئ، وتنفيذ تحديثات البرمجيات [49]. وهذا يمثل سياقًا تتدفق فيه بيانات غنية من السفينة إلى الشاطئ للمشغلين الذين قد يتخذون إجراءات لتغيير حالة السفينة. ويتمثل الشاغل الرئيسي للبشر المشغلين للسفينة عن بُعد في الحفاظ على وعي ظرفي كافٍ عبر الاستشعار عن بُعد لحالة السفينة [50]. وقد تتطلب السفينة غير المأهولة في الأسطول دعمًا من المشغل في ROC، إما بسبب اللوائح أو عدم الثقة في الأتمتة أو قدرات الأتمتة. ويُعد ضمان موثوقية الاتصال أمرًا محوريًا للحفاظ على وعي ظرفي كافٍ [48]. وتشمل المخاطر السيبرانية المحتملة في ROC خروقات السرية والعبث بالبيانات وفقدان توافر الاتصال [5]. وبالنسبة للسفن المستقلة أكثر من السفن التقليدية المأهولة، يُعد الاتصال والتواصل الفعال بين السفينة والسفينة وبين السفينة والشاطئ مكونين أساسيين لتشغيلها الآمن [53]. وتشمل العوامل التي يجب مراعاتها السرعة والموثوقية اللتين تُنقل بهما البيانات المتولدة من الحساسات والكاميرات بين السفينة وROC لتمكين الوعي الظرفي الآني والتعامل للمشغلين [54]. وأجرى بحث [55] تقييمًا للمخاطر والأخطار التي ستؤثر على التشغيل الآمن للسفن المستقلة، ومن الأخطار التي برزت في ترتيبه النهائي تعطل النظام بسبب انقطاع وصلة الاتصال وتعطل النظام بسبب التشويش أو الانتحال لإشارات AIS وGPS. وتتشابه وظيفة مدير الاتصال في بنى السفن المستقلة كثيرًا مع مدير السفينة-الشاطئ (SSM) الذي حدده [34]، مما يكشف عن تداخل المكونات التي توفر وظائف مماثلة لكل من M-SOCs وROCs. وبالتالي يمكن أن يستفيد تطوير ROCs من التقدم المحرز في M-SOCs، تمامًا كما يمكن أن يستفيد من مراكز العمليات عن بُعد القائمة المستخدمة في قطاعات بنية تحتية حرجة أخرى، مع مراعاة خصوصية التحديات التي يواجهها المجال البحري [56–63].
للإجابة عن السؤال البحثي، طبقنا أخذ العينات المعيارية (criterion sampling) [64] في اختيار المشاركين الذين اشترط فيهم العمل إما في M-SOC داخلي أو لدى مزودي خدمات الأمن المدارة (MSSPs). ووافقت خمسة مراكز M-SOC على مشاركة محلليها في مقابلاتنا. وكانت جميع هذه المراكز عاملة منذ أقل من خمس سنوات. ويبرز الجدول 1 في الورقة الأصلية الملف التنظيمي لها: أربعة مراكز تعمل بنموذج MSSP بأحجام أساطيل تتراوح بين 150 و500 سفينة (ناقلات، سفن إنتاج وتخزين وتفريغ عائمة، يخوت فاخرة، سفن سياحية، سفن حاويات)، ومركز داخلي واحد يراقب 60 ناقلة. حصلت الدراسة على الموافقة الأخلاقية من المركز النرويجي لبيانات الأبحاث برقم المشروع 241816. وبمساعدة دليل مقابلة، أُجريت مقابلات فردية مع المشاركين التسعة بين أكتوبر 2022 وفبراير 2023. أُجريت كل مقابلة باللغة الإنجليزية واستغرقت ساعة واحدة في المتوسط. أُجريت سبع مقابلات وسُجلت عبر منصتي Teams [65] وZoom [66]، بينما أُجريت المقابلتان المتبقيتان حضوريًا في مقار المستجيبين حيث التُقط الصوت بمسجل صوتي. واستُخدم Microsoft 365 [67] لتفريغ المقابلات، وتمت عملية الترميز باستخدام Microsoft Excel [68] الذي ساعد أيضًا في تتبع الموضوعات الناشئة.
استُرشد في تحليل بيانات المقابلات بالطريقة بالنظرية المجذرة، التي تشمل ثلاث مراحل: الترميز المفتوح والمحوري والانتقائي [69]. تمر بيانات المقابلات أولًا بالترميز المفتوح، حيث تُجمع الاستجابات وفق كلمات أو عبارات أو مؤشرات مفاهيمية متشابهة. ثم تتضمن المرحلة التالية، وهي الترميز المحوري، إقامة علاقات بين الرموز المفتوحة المطورة سابقًا، وينتج عن هذه المرحلة تطوير فئات فرعية. وأخيرًا، يتضمن الترميز الانتقائي تطوير فئة محورية تربط على أفضل وجه جميع الفئات الفرعية المطورة في مرحلة الترميز المحوري [69]. وحُدد التشبع من خلال عدّ تكرار الرموز، الذي أظهر عدم ظهور رموز جديدة بعد المقابلة السابعة، مما يشير إلى تحقيق التشبع الموضوعي.
بعد اختتام مرحلة الترميز الانتقائي لتحليل البيانات، برزت إدارة الحوادث كفئة محورية. وهذا يعني أن المناقشات مع محللي M-SOC أشارت كلها نحو كيفية إجرائهم لإدارة الحوادث والعوامل المؤثرة فيها. ودُعمت هذه الفئة المحورية بأربع فئات أخرى، وهي تحليل الحوادث، والإلحاق السيبراني، والمجال التشغيلي، والتواصل بشأن الحوادث. وتلخص الجداول 2–5 في الورقة الأصلية وصف كل فئة وفئاتها الفرعية، كما يصور الشكل 2 الفئات والفئات الفرعية. وتشمل فئة تحليل الحوادث عملية التحقيق في السبب الجذري للتنبيه، وتضم فئات فرعية هي: نقص الموظفين (أثر نقص موظفي M-SOC على عملية تحليل الحوادث)، وترتيب أولويات الحوادث (كيفية ترتيب المحللين لحرجية التنبيهات الواردة)، وجمع الاستخبارات (عملية الحصول على معلومات إضافية متعلقة بالتنبيه تساعد في تحليله)، ومشاركة المعلومات (سهولة نشر معلومات التهديدات السيبرانية داخل المجال البحري بما يساعد في تحليل الحوادث آنيًا).
تغطي فئة المجال التشغيلي الصناعة التي يعمل فيها M-SOC، وهي المجال البحري في حالتنا، وتضم فئات فرعية هي: النضج السيبراني (استثمار أصحاب المصلحة البحريين في الاستعداد السيبراني والتعافي واستمرارية الأعمال)، والوعي السيبراني (مستويات الوعي السيبراني للطاقم على متن السفينة والموظفين الشاطئيين)، والتنظيم (تنظيم الأمن السيبراني البحري القائم)، والرقمنة (مستوى الاعتماد التقني في المجال البحري). أما فئة الإلحاق السيبراني فتضمن التقاط متطلبات مراقبة العملاء بالكامل ودمجها في منصة مراقبة M-SOC، وتضم فئتين فرعيتين: الاتصال (مدى توفر وصول إنترنت وعرض نطاق كافيين للسفينة لتيسير المراقبة الآنية)، والمعرفة بالمجال (المعرفة السياقية بعمليات السفن مثل الأنظمة الأساسية على متن السفن ومسارات الإبحار).
وتتناول فئة التواصل بشأن الحوادث كيفية تواصل محللي M-SOC بشأن الحوادث مع أصحاب المصلحة المعنيين، بما في ذلك الطاقم على متن السفينة وفرق الشاطئ والعملاء. وأبرز المستجيبون أن التواصل الفعال يعوقه ضعف الوعي السيبراني لدى الطاقم، والحواجز اللغوية، ومحدودية عرض النطاق الذي يقيد قنوات التواصل المتاحة أثناء الحوادث. كما أشار المحللون إلى أن مشاركة المعلومات داخل المجال البحري لا تزال محدودة بسبب المخاوف التنافسية والحساسية التجارية، مما يبطئ التحليل الآني للحوادث. وبشكل عام، تُظهر النتائج أن إدارة الحوادث في M-SOCs تتشكل بشكل حاسم بالتفاعل بين قيود الاتصال والمعرفة السياقية بالمجال، وليس فقط بالعوامل التقنية التي تهيمن على عمليات SOC التقليدية.
سعت هذه الدراسة إلى فهم العوامل التمكينية والتحديات التي تواجهها M-SOCs في سعيها لتيسير الكشف المبكر عن الأحداث السيبرانية. وركز تحليل النتائج على العوامل التي تجعل عمليات M-SOC مختلفة عن SOCs التقليدية في قطاعات البنية التحتية الحرجة الأخرى. وهذه العوامل هي مستوى الاتصال وحالات السفن الديناميكية التي تؤثر على المعلومات السياقية. وبالتالي ستوجه هذه العوامل المناقشة اللاحقة، كما ستُستكشف أهمية هذه النتائج وقابليتها للنقل إلى ROCs المستقبلية. إن التشغيل الفعال لمراكز M-SOC في أي مجال بنية تحتية حرجة يعتمد اعتمادًا كبيرًا على التمتع برؤية جيدة لجميع الأصول. وأبرز تقرير أداء SOC لعام 2022 أن الافتقار إلى الرؤية هو أكبر عامل يسهم في عدم فعالية SOCs [71]. وعلى الرغم من أن الاتصال مساهم رئيسي في التمتع برؤية جيدة لجميع الأصول المخطط لمراقبتها، فإن حرجيته تتضخم عند مراقبة الأصول البحرية مقارنة بالأصول البرية. فالاتصال عالي عرض النطاق مضمون تقريبًا دائمًا لمعظم المواقع البرية، وهو ما لا يمكن قوله عن المواقع البحرية. فلطالما اتسمت المواقع البحرية، ولا سيما في أعماق البحار، بتكاليف إعداد أولية مرتفعة وعرض نطاق منخفض حتى للخدمة المدفوعة وتأخر انتشار مرتفع واتصال غير مستقر غالبًا مع انقطاعات متكررة للوصلات. وهذه هي البيئة التي اضطرت M-SOCs للتعامل معها، ولا سيما عند النظر في مراقبة السفن. ولم تغب هذه الشواغل عن المستجيبين، إذ أبرز بعضهم أنهم لم يُفعّلوا بعد المراقبة الآنية بسبب محدودية عرض النطاق. وارتبط بهذه المناقشة ارتباطًا وثيقًا ضرورة ترتيب أولويات الأنظمة الحرجة على متن السفن إذا كان عرض النطاق لا يدعم مراقبة جميع الأنظمة. إن ترتيب أولويات الحوادث كعملية SOC حرجة ليس مفهومًا جديدًا، فبسبب الحجم الكبير للتنبيهات الذي يُشاهد غالبًا في SOC، اقتُرح الترتيب كحل، لكن دافع الترتيب في M-SOCs مختلف: فهو مدفوع بقيود عرض النطاق وليس بفرط التنبيهات كما في SOCs البرية.
كما أن حالات السفن الديناميكية تعني أن المعلومات السياقية — مثل الموقع الجغرافي ومرحلة الرحلة وكثافة الحركة — تحدد ما إذا كان التنبيه إيجابيًا حقيقيًا يستحق التصعيد. فالسفينة الراسية في ميناء تُظهر نمط تنبيهات مختلفًا تمامًا عن السفينة المبحرة في محيط مفتوح، ويجب أن يمتلك محللو M-SOC المعرفة بالمجال لتفسير هذه الاختلافات. وتُظهر النتائج أن الخبرة البحرية لا تقل أهمية عن الخبرة السيبرانية لفعالية التحليل، مما يفسر لماذا يُعد البحارة السابقون محللين قيمين. ومع التحسن الكبير في الاتصال عبر كوكبات الأقمار الصناعية منخفضة المدار، ستتحول احتياجات الترتيب تدريجيًا نحو التعامل مع فرط التنبيهات، مما يقرب عمليات M-SOC من نظيراتها البرية مع بقاء البعد السياقي البحري مميزًا لها.
وتُظهر النتائج أيضًا صلة وثيقة بمستقبل تكون فيه ROCs أكثر انتشارًا، إذ تواجه التحدي ذاته المتمثل في الاتصال واستخدام المعلومات السياقية للوعي الظرفي. ويتجلى التداخل بوضوح في التشابه الوظيفي بين مدير السفينة-الشاطئ (SSM) في M-SOCs ومدير الاتصال في بنى السفن المستقلة [34،59،60]، إذ يضمن كلاهما استلام البيانات المجمعة على متن السفينة في الشاطئ ضمن حدود عرض النطاق وزمن الاستجابة المحددة مسبقًا. وفي مستقبل يمكن أن تتقارب فيه عمليات M-SOC وROC، يوصي المؤلفون بأن تبني الدراسات المستقبلية على هذه النتائج، ولا سيما في تصميم تدفقات البيانات المشتركة وآليات العرض التي تحافظ على الوعي الظرفي لمشغلي ROC دون إغراقهم بالتنبيهات.
استخدمت معظم دراسات SOC التي راجعناها مستجيبين من مجالات متنوعة [77–80]. وعلى الرغم من أن ذلك يساعد في تقديم منظور واسع للتحديات التي تواجهها SOCs، فإن نتائجها لا يمكن القول إنها ممثلة لأي مجال محدد. وبالتركيز فقط على مستجيبي M-SOC، يمكننا الادعاء بأن نتائجنا ممثلة للمجال البحري. واضطرت هذه الدراسة أيضًا للتعامل مع صغر حجم العينة لعدة أسباب: أولها أن اعتماد M-SOC مهمة حديثة، وبالتالي كان عدد مراكز M-SOC الداخلية أو MSSPs الذين يمكننا الاتصال بهم محدودًا جدًا؛ بالإضافة إلى أن الطبيعة الحساسة للعمل الذي تُكلف به هذه الكيانات عنت أن بعض مراكز M-SOC التي تم الاتصال بها لم تكن مرتاحة للمشاركة في الدراسة، مما قلص أكثر مجموعة المستجيبين المحتملين. وواجهت دراسات SOC مماثلة في مجالات أخرى تحديات مجموعة المشاركين لكنها تمكنت من الحصول على نتائج ذات معنى رغم صغر أحجام العينات [78،80،81]. ومع ذلك، وباستخدام المقابلات شبه المنظمة، تمكنا من الحصول على عمق كافٍ في الاستجابات. ووجهت المقارنة المستمرة جمع البيانات وعملية الترميز، مما ساعد في تقليل أثر التحيز. ولضمان الحفاظ على الجودة من منظور تفسيري، وثّق المؤلف الرئيسي عملية الترميز عبر مذكرات راجعها المؤلفون المشاركون للتأكد من تمثيل النتائج وقابليتها للتأكيد. وساعد تصوير مخرجات عملية الترميز عبر الجداول 2–5 والشكل 2 في ضمان اعتمادية الدراسة.
إن النتائج المتعلقة بالاتصال والمعلومات السياقية، كما عُرضت، خاصة بالمجال البحري، لذا يجب توخي الحذر عند تعميمها على مجالات أخرى. كما أن جميع مراكز M-SOC المشاركة كانت عاملة منذ أقل من خمس سنوات، مما يعني أن النتائج تعكس مرحلة النضج المبكر لهذه المراكز وقد تتغير مع نضج العمليات. وأخيرًا، أُجريت جميع المقابلات باللغة الإنجليزية، مما قد يكون حدّ من تعبير بعض المشاركين غير الناطقين بها عن الفروق الدقيقة في تجاربهم.
أدت الهجمات السيبرانية المزعجة بشكل متزايد في المجال البحري إلى تركيز المزيد من الجهود على تعزيز المرونة السيبرانية. ومع اهتمام السفن بالاستفادة من مزيد من الأتمتة والاعتماد المرجح لمراكز ROC، قد يتسع أثر الهجمات السيبرانية في السنوات القادمة. واستجابة للحاجة التنظيمية للكشف المبكر عن الأحداث السيبرانية، اعتمد مشغلو السفن بشكل متزايد مراكز M-SOCs. وقادتنا حداثتها النسبية إلى تطوير هذه الدراسة التي سعت إلى فهم أفضل للعوامل التمكينية والتحديات المؤثرة على فعالية عملياتها. جُمعت بيانات المقابلات من محللي M-SOC، وحُللت بيانات مقابلات تسعة محللين في M-SOC بإرشاد من النظرية المجذرة، مما أدى إلى بروز إدارة الحوادث كفئة محورية. وركزت المناقشة اللاحقة للنتائج على التحديات التي تجعل عمليات M-SOC فريدة عن تلك الخاصة بمجالات البنية التحتية الحرجة الأخرى. فمن منظور الاتصال، رأينا أن شواغل عرض النطاق عنت أنه يتعين على M-SOCs مراعاة ترتيب أولويات الأنظمة على متن السفن التي تراها حرجة، وهذا يختلف عن الترتيب المشاهد في SOCs الأخرى الذي يكون دائمًا تقريبًا بسبب فرط البيانات. ومع ذلك، فإن التحسينات الكبيرة في الاتصال ستحول احتياجات الترتيب نحو التعامل مع فرط التنبيهات. كما عنت حالات السفن الديناميكية أن المعلومات السياقية — مثل الموقع الجغرافي — أصبحت حاسمة في التمييز بين الإيجابيات الحقيقية والإيجابيات الكاذبة. والنتائج وثيقة الصلة أيضًا بمستقبل تكون فيه ROCs موجودة، إذ رأينا أنها تواجه التحديات ذاتها المتمثلة في الاتصال واستخدام المعلومات السياقية للوعي الظرفي. وتمكن هذا البحث من إظهار كيف أن الاتصال والمعلومات السياقية، كما يُطبقان في المجال البحري، يجعلان عمليات M-SOC مختلفة عن SOCs الأخرى، كما تمكن من إظهار كيفية ارتباطهما بمراكز ROC وأوجه التآزر القائمة بين الكيانين.
وفي مستقبل يمكن أن تتقارب فيه عمليات M-SOC وROC، يوصي المؤلفون بأن تبني الدراسات المستقبلية على هذه النتائج، ولا سيما في التحقيق في البنى المشتركة لتدفق البيانات، وآليات العرض الواعية بالسياق لتنبيهات ROC، وأطر الكفاءة التي تجمع بين الخبرة البحرية والسيبرانية. ومع تسارع الرقمنة البحرية ودخول السفن المستقلة الخدمة، ستزداد أهمية مراكز العمليات الأمنية البحرية الفعالة للمرونة السيبرانية للتجارة العالمية.
قائمة المراجع الكاملة (81 مصدرًا) متاحة في الملف الأصلي للPDF.
Increasingly disruptive cyber-attacks in the maritime domain have led to more efforts being focused on enhancing cyber resilience. From a regulatory perspective, there is a requirement that maritime stakeholders implement measures that would enable the timely detection of cyber events, leading to the adoption of Maritime Security Operation Centers (M-SOCs). At the same time, Remote Operation Centers (ROCs) are also being discussed to enable increased adoption of highly automated and autonomous technologies, which could further impact the attack surface of vessels. The main objective of this research was therefore to better understand both enabling factors and challenges impacting the effectiveness of M-SOC operations. Semi-structured interviews were conducted with nine M-SOC experts. Informed by grounded theory, incident management emerged as the core category. By focusing on the factors that make M-SOC operations a unique undertaking, the main contribution of this study is that it highlights how maritime connectivity challenges and domain knowledge impact the M-SOC incident management process. Additionally, we have related the findings to a future where M-SOC and ROC operations could be converged.
Critical infrastructure sectors have witnessed an increased deployment of Internet of Things (IoT) ecosystems involving sensors and actuators to communicate with physical systems. These IoT ecosystems help optimize and improve real-time operations [1]. The maritime industry, identified as a critical infrastructure sector by the Network and Information Security (NIS-2) directive [2], is a key element in world trade and the global economy, accounting for the carriage of nearly 90% of the world's goods. Much of this has historically been undertaken on vessels with limited connectivity due to the constraints of operating via satellite networks, whose shortcomings include low bandwidth, high propagation delays, high packet error rates, high initial costs to set up, and finally a high frequency of link breakages [3]. However, the connectivity landscape is quickly changing with the introduction of low-orbit, large-scale communication satellite constellations. The result is rapid digitalization and automation of the maritime domain.
At the heart of this digitalization wave is the Internet of Things (IoT) which is enabled by a proliferation of sensors resulting in complex digital systems onboard modern vessels and on shoreside port infrastructure. The same digitalization wave is also key to the recent advancements in autonomous vessel development. To ensure their safe operation, autonomous vessels will be ever more reliant on sensor technology for propulsion control, route planning, situational awareness, and collision avoidance [4,5]. The large amount of data being generated by these sensors means that both vessel and port operators have the opportunity to optimize their operations. Some of the innovative applications of maritime big data include remote monitoring of vessels, demand forecasting, predictive maintenance, and digital twin development [6]. A case example is the Port of Hamburg which utilizes data from more than 300 sensors to assist with vessel and port vehicle monitoring. These have been shown to contribute to an overall reduction in idle units which results in lower carbon emissions and increased port operation efficiency [7].
The ever-improving connectivity levels and increasing IoT adoption have led to concerns from both nation-states and infrastructure operators on the need for better cyber resilience of critical infrastructure within the maritime domain, particularly vessels. This is because the 'air-gapped by default' status of vessels, necessitated by previously limited bandwidth availability, meant that onboard systems were not designed with cyber security as a consideration. The increased threat-attack surface means that a successful attack could have dire consequences on public safety, economic stability, and environmental concerns [8]. To reinforce these concerns, in early 2023, DNV asked 800 maritime professionals what impacts of cyber-attacks they expect to see in the next 1–2 years. A total of 80% of respondents believed that a closure of a major port or waterway, 68% believed a vessel would run aground, 60% believed there would be a collision, and 56% believed there would be physical injury or loss of life [9,10]. When it comes to autonomous vessels, cyber-attacks have been ranked as one of the top hazards that they face [5]. From a cyber criminal's perspective, such a threat landscape presents an opportunity to inflict maximum damage with minimal effort. There have been documented cyber-attacks on critical infrastructure in other safety-critical domains, such as the 2010 Stuxnet attack on an Iranian nuclear facility, the 2015 Ukrainian power grid hack, and the recent Colonial pipeline ransomware attack in 2021 [11,12].
Improved connectivity has made it a key component of vital vessel functions such as navigation, which has become increasingly computer-aided. Modern vessels are today completely dependent on global navigation satellite systems (GNSS) for correct positioning, navigation, and timing, all complemented by interconnected sensors within what is known as an integrated navigation system. Studies have shown that these networks and systems were never designed with security in mind and have been shown to be increasingly vulnerable to cyber-attacks which undermine the safety of the vessel and its crew [14]. For example, study [15] evaluated the cyber posture of an integrated navigation system (INS) on a still-operational roll-on/roll-off ship, identifying four critical vulnerabilities including an outdated Server Message Block (SMB) service previously exploited by the destructive NotPetya ransomware attack impacting maritime operators such as Maersk [16]. Key network protocols utilized by vessels — TCP/IPv6, CAN Bus, NMEA 0183, and AIS — were all classified as being at high risk of Denial of Service (DoS), spoofing, packet sniffing, and relay attacks [18]. Real-life GNSS spoofing events have also been recorded: in 2017 a ship off the Novorossiysk-Russia shore had its GPS show it inland near Gelendzhik airport, a problem later found to have affected 20 other vessels and attributed to a Russian GPS spoofing attack [23]; in 2019 the UK-flagged oil tanker Stena Impero and its crew were seized after drifting into Iranian waters, later believed to have been caused by GPS signal spoofing. These examples demonstrate how a seemingly harmless aspect of maritime digitalization — improved connectivity — can significantly increase the threat attack surface and in some cases severely compromise crew safety. This turns the focus to regulation: the domain has long depended on regulation for safety improvement [25], but with no enforceable regulation until 2017 the industry lagged in cyber maturity, leaving it vulnerable to crippling attacks such as the 2017 NotPetya ransomware attack on Maersk [16]. The IMO then passed new cyber requirements that came into force in 2021 [26,27] to rapidly improve the industry's lagging cyber maturity, backed by stakeholders such as BIMCO [28], DNV [29], Bureau Veritas [30], and IACS [31,32]. The IMO maritime cyber security guidelines call upon stakeholders to implement measures enabling timely detection of cyber threats [26,27]. However, a knowledge gap exists on the current state of implementation. This study therefore investigates the industry response to timely cyber threat detection from the perspective of Maritime Security Operation Centers (M-SOCs), seeking to answer: What are the enabling factors and challenges that M-SOCs have faced in their quest to facilitate the timely detection of cyber events? The findings are then related to a future where autonomous vessel Remote Operation Centers (ROCs) will be more prevalent.
Security Operation Centers (SOCs) are an integral part of an organization's security incident response process, and their effectiveness is dependent upon their visibility into enterprise networks and systems, access to actionable threat intelligence, and forensic and analytic capabilities [33]. Their implementation is usually tied to the need to meet business requirements, regulatory requirements, or both. The adoption of M-SOCs by vessel operators has been done to satisfy both business and regulatory requirements. From a business perspective, the increasing incidences of cyber-attacks targeting the maritime domain are a cause for concern; vessels only make money when they are sailing, so a cyber-attack crippling vessel operations would be detrimental to the bottom line. From a regulatory perspective, the IMO cyber security regulation [26,27] calls for the timely detection of cyber anomalies by domain stakeholders. M-SOCs are therefore well-positioned to satisfy both needs, hence their increasing adoption. For vessel cyber-resilience, M-SOCs aim to monitor both the onboard Information Technology (IT) and Operational Technology (OT) systems in real time for cyber anomalies. However, their relatively recent adoption means that the body of research looking into them has only just begun to emerge. Research by [34] proposed four essential blocks for fully capable M-SOCs: the Ship Shore Manager (SSM) ensuring all data collected onboard is properly received shoreside within specified bandwidth limits; the Central Processor filtering, normalizing, and transforming metadata alerts and logs from the ship; the Data Store envisioned as a big data engine; and the Bandwidth Manager monitoring bandwidth configuration for various ships.
With the increased threat attack surface largely acknowledged, one emerging concern is the alarming shortage of qualified cyber security personnel both onboard vessels and shoreside capable of handling not only Information Technology (IT) but also Operational Technology (OT) cyber security [10,35,36]. Compounding this problem, there are currently no formal cyber security training guidelines in the Standards of Training, Certification, and Watchkeeping (STCW) for Seafarers [37]. Unsurprisingly, a popular M-SOC research theme has been enhancing M-SOC analysts' skills, with one study recommending the NIST NICE framework [38] to define an M-SOC operator's skills, knowledge, and training objectives [39], and research by [40] suggesting cyber ranges for maritime-tailored M-SOC analyst training scenarios. While SOC implementations exist in other critical infrastructure domains, the maritime domain has unique characteristics influencing effective M-SOC operation. Poor connectivity at sea meant that for a long time a vessel's best defense was isolation, so insufficient effort went into designing cybersecure systems. Coupled with vessels' long operational lifespan and the domain's cost-conscious nature [41], most vessels sailing today depend heavily on legacy equipment, particularly OT systems — a problem for SOCs, as a recent SANS report [42] highlighted legacy-to-modern-IT integration as organizations' biggest challenge. M-SOCs must therefore recognize that visibility into vessel systems and monitoring effectiveness can be impeded by this integration challenge. Although improving [43], offshore connectivity remains a challenge versus shoreside connectivity, so M-SOCs must prepare for bandwidth limitations and integration challenges impeding real-time vessel monitoring.
The vessel itself is at any one time a fusion of static and dynamic attributes. Static attributes are most notably represented by the multiple vessel types in operation, each unique in design [44]. M-SOCs must also deal with vessels constantly in motion, meaning contextual information plays a big role in both the type and volume of alerts seen. The use of contextual information in incident response is common SOC routine, applied by SOCs in other domains. A 2023 SANS SOC survey [45] highlighted the lack of context as one of the greatest barriers to full SOC capability utilization. In the maritime domain, contextual information plays a critical role during incident response, mainly because the monitored asset is in constant motion, exposing it to a greater scope of threats. One utilizable contextual category is the vessel's geographical location — a dynamic attribute definable as open ocean, coastal port, harbor, restricted waterways, or inland waterways [46]. Connectivity challenges and dynamic vessel states are key attributes making M-SOC operations unique, so these maritime-specific attributes cannot be ignored to fully understand M-SOCs.
While M-SOC adoption is presently limited to monitoring conventionally manned surface vessels, the future of shipping is progressively moving towards autonomous vessels, so no M-SOC discussion is complete without looking to a future where they will monitor autonomous vessels. Attributed benefits of autonomous vessels include fuel and crew cost savings, improved crew safety, and emission reductions. Their introduction brings major fleet operating model redesign, notably Remote Operation Centers (ROCs) [47], also called shore control centers [48], enabling greater vessel oversight and more shore-based asset control. Proposed ROC functionalities include monitoring onboard physical processes, navigation control, emergency takeover, and software updates [49] — a context where rich data flows ashore to operators who may act to change vessel state. The primary concern for remote operators is maintaining adequate situational awareness through remote sensing of vessel state [50]; an unmanned fleet vessel might need ROC operator support due to regulations, automation mistrust, or capability limits. Reliable connectivity is pivotal to situational awareness [48]. Potential ROC cyber risks include confidentiality breaches, data tampering, and loss of connection availability [5]. For autonomous vessels even more than manned ships, connectivity and efficient ship-to-ship and ship-to-shore communication are key to safe operation [53], including the speed and reliability of sensor/camera data transfer between vessel and ROC for real-time operator awareness [54]. Research by [55] risk-assessed autonomous vessel hazards, with communication-link breakdown and AIS/GPS jamming or spoofing failures ranking highly. The connectivity manager function in autonomous-ship architectures closely resembles the Ship Shore Manager (SSM) defined by [34], revealing overlapping components serving both M-SOCs and ROCs. Thus ROC development can be informed by M-SOC progress — as by existing remote operation centers in other critical infrastructure sectors — while considering maritime-specific challenges [56–63].
To answer the research question, we applied criterion sampling [64] in selecting participants working in either an in-house M-SOC or managed security service providers (MSSPs). Five M-SOCs agreed to have their analysts interviewed. All had been in operation for less than five years. Their organizational profile (Table 1 of the original paper): four MSSP-model centers with fleets of 150–500 vessels (tankers, FPSOs, superyachts, cruise ships, container vessels) and one in-house center monitoring 60 tankers. The study obtained ethical approval from the Norwegian Center for Research Data (project 241816). Using an interview guide, nine participants were interviewed individually between October 2022 and February 2023. Each interview was conducted in English and lasted 1 hour on average. Seven interviews were conducted and recorded on Teams [65] and Zoom [66], while two took place physically on respondents' premises with audio capture. Microsoft 365 [67] transcribed the interviews, and coding used Microsoft Excel [68], which also tracked emerging themes.
Interview data analysis was informed by grounded theory with three phases: open, axial, and selective coding [69]. Data first undergoes open coding, grouping responses by similar words, phrases, or concept indicators. Axial coding then establishes relationships between the open codes, producing sub-categories. Finally, selective coding develops a core category best linking all axial sub-categories [69]. Saturation was determined through code frequency count, which showed no new codes emerging after the seventh interview, indicating thematic saturation.
Following the selective coding phase, incident management emerged as the core category: all M-SOC analyst discussions pointed toward how they conduct incident management and influencing factors. This core category was supported by four others — incident analysis, cyber onboarding, the operational domain, and incident communication (Tables 2–5 and Figure 2 of the original paper). Incident analysis covers investigating an alert's root cause, with sub-categories: personnel shortages (impact of M-SOC staff shortages on analysis), incident prioritization (how analysts rank incoming alert criticality), intelligence gathering (obtaining additional alert-related information to assist analysis), and information sharing (ease of disseminating cyber threat information within the maritime domain for timely analysis).
The operational domain category covers the industry the M-SOC operates in — maritime — with sub-categories: cyber maturity (maritime stakeholders' investment in preparedness, recovery, business continuity), cyber awareness (crew and shoreside personnel awareness levels), regulation (existing maritime cybersecurity regulation), and digitalization (technological adoption level in the maritime domain). Cyber onboarding ensures client monitoring requirements are fully captured into the M-SOC monitoring platform, with sub-categories: connectivity (vessel internet access and bandwidth sufficiency for real-time monitoring) and domain knowledge (contextual vessel-operations knowledge such as key onboard systems and sailing routes).
Incident communication covers how M-SOC analysts communicate incidents to relevant stakeholders, including onboard crew, shore teams, and clients. Respondents highlighted that effective communication is hindered by poor crew cyber awareness, language barriers, and limited bandwidth constraining available channels during incidents. Analysts also noted that information sharing within the maritime domain remains limited due to competitive concerns and commercial sensitivity, slowing timely incident analysis. Overall, results show M-SOC incident management is decisively shaped by the interaction of connectivity constraints and domain contextual knowledge — not only the technical factors dominating traditional SOC operations.
This study sought to understand enabling factors and challenges M-SOCs face in facilitating timely cyber event detection. Results analysis focused on factors making M-SOC operations different from traditional SOCs in other critical infrastructure sectors: connectivity levels and dynamic vessel states influencing contextual information — factors guiding the subsequent discussion, alongside finding transferability to future ROCs. Effective M-SOC operations in any critical infrastructure domain depend heavily on good asset visibility. A 2022 SOC performance report highlighted lack of visibility as the biggest SOC ineffectiveness factor [71]. While connectivity is a major contributor to visibility of monitored assets, its criticality is magnified for offshore versus onshore assets. High-bandwidth connectivity is almost always guaranteed for onshore locations — not so offshore. Offshore locations, particularly deep sea, have long meant high set-up costs, low bandwidth even for paid service, high propagation delays, and often unsteady connections with frequent link breakages — the environment M-SOCs deal with, particularly for vessel monitoring. Respondents confirmed this, some noting real-time monitoring was not yet operationalized due to bandwidth limits. Closely related was the need to prioritize critical onboard systems if bandwidth could not support monitoring all systems. Incident prioritization as a critical SOC process is not new — high alert volumes motivate it — but the M-SOC prioritization driver differs: bandwidth constraints, not alert overload as in onshore SOCs.
Dynamic vessel states likewise mean contextual information — geographical position, voyage phase, traffic density — determines whether an alert is a true positive worth escalating. A vessel berthed in port shows an entirely different alert pattern from one underway in open ocean, and M-SOC analysts need domain knowledge to interpret these differences. Results show maritime expertise matters as much as cyber expertise for effective analysis, explaining why former seafarers are valuable analysts. As connectivity improves significantly via low-orbit satellite constellations, prioritization needs will gradually shift toward alert overload, bringing M-SOC operations closer to onshore counterparts while the maritime contextual dimension remains distinctive.
Findings are also highly relatable to a future with ROCs, which face the same connectivity and contextual-information-for-situational-awareness challenges. Overlap is evident in the functional similarity between the M-SOC Ship Shore Manager (SSM) and the connectivity manager in autonomous-ship architectures [34,59,60], both ensuring onboard-collected data is received ashore within bandwidth and latency limits. In a future where M-SOC and ROC operations could converge, the authors recommend future studies build on these findings, particularly on shared data-flow architectures, context-aware ROC alert presentation mechanisms, and competency frameworks combining maritime and cyber expertise.
Most SOC studies reviewed used respondents from diverse domains [77–80]. While providing broad perspective on SOC challenges, their results cannot be claimed representative of any specific domain. By focusing only on M-SOC respondents, we claim our findings are representative of the maritime domain. This study also contended with small sample size for several reasons: first, M-SOC adoption is recent, so very few in-house M-SOCs or MSSPs could be contacted; additionally, the sensitive nature of these entities' work meant some contacted M-SOCs were uncomfortable participating, further shrinking the pool. Similar SOC studies in other domains faced participant-pool challenges yet obtained meaningful results despite small samples [78,80,81]. However, semi-structured interviews provided sufficient response depth. Constant comparison guided data collection and coding, minimizing bias impact. For interpretive-lens quality, the primary author documented coding through memos reviewed by co-authors for representativeness and confirmability. Visualizing coding output through Tables 2–5 and Figure 2 ensured dependability.
Connectivity and contextual-information findings as presented are maritime-domain specific, so caution is needed generalizing to other domains. All participating M-SOCs had operated less than five years, so findings reflect these centers' early maturity and may change as operations mature. Finally, all interviews were conducted in English, which may have limited some non-native participants' expression of experiential nuance.
Increasingly disruptive cyber-attacks in the maritime domain have led to more efforts focused on enhancing cyber resilience. With vessel interest in more automation and likely ROC adoption, cyber-attack impact could grow in coming years. In response to the regulatory need for timely cyber event detection, vessel operators increasingly adopted M-SOCs. Their relative newness led us to develop this study to better understand enabling factors and challenges impacting their operations' effectiveness. Interview data was collected from M-SOC analysts; analyzing nine M-SOC analysts' interview data informed by grounded theory led to incident management emerging as the core category. Subsequent results discussion focused on challenges making M-SOC operations unique versus other critical infrastructure domains. From a connectivity perspective, bandwidth concerns meant M-SOCs had to consider prioritizing onboard systems deemed critical — differing from other SOCs' prioritization, almost always due to data overload. Significant connectivity improvements will, however, shift prioritization needs toward alert overload. Dynamic vessel states meant contextual information — such as geographical location — became critical in distinguishing true from false positives. Findings are also very relatable to a future with ROCs, which face the same connectivity and contextual-information-for-situational-awareness challenges. This research has shown how connectivity and contextual information, as applied in the maritime domain, make M-SOC operations different from other SOCs, and how these relate to ROCs and the synergies between the two entities.
In a future where M-SOC and ROC operations could converge, the authors recommend future studies build on these findings — particularly shared data-flow architectures, context-aware ROC alert presentation, and competency frameworks combining maritime and cyber expertise. As maritime digitalization accelerates and autonomous vessels enter service, effective maritime security operation centers will only grow in importance to global trade's cyber resilience.
Full reference list (81 sources) available in the original PDF.