本刊記者 劉 蕭

觀 察 Observation

共筑航運(yùn)網(wǎng)絡(luò)安全的鐵壁銅墻

本刊記者 劉 蕭

層出的案例映射出航運(yùn)業(yè)解決網(wǎng)絡(luò)安全問(wèn)題已刻不容緩。在未來(lái)，只有各方協(xié)力將網(wǎng)絡(luò)安全防護(hù)技術(shù)、影響、影響網(wǎng)絡(luò)安全的因素結(jié)合起來(lái)，采取可行性高的防護(hù)措施，建立健全防護(hù)體系，并增強(qiáng)單位內(nèi)部人員的網(wǎng)絡(luò)安全意識(shí)和技能，才能真正從源頭上解決網(wǎng)絡(luò)安全問(wèn)題。

今年5月，WannaCry勒索病毒席卷全球，制造了堪稱是“史上最大規(guī)?！钡娜蛐跃W(wǎng)絡(luò)攻擊事件。據(jù)國(guó)外知名網(wǎng)絡(luò)安全機(jī)構(gòu)統(tǒng)計(jì)，僅5月12日一天，全球就有99個(gè)國(guó)家和地區(qū)發(fā)生了超7.5萬(wàn)起WannaCry勒索病毒攻擊事件。由于贖金需要用比特幣支付，勒索病毒在“發(fā)力”的同時(shí)更炒熱了比特幣，導(dǎo)致短短兩周時(shí)間比特幣的價(jià)格就飆漲了63%。對(duì)于某些比特幣持有者而言，勒索病毒的蔓延無(wú)疑帶來(lái)了一筆“飛來(lái)橫財(cái)”。但對(duì)于古老的航運(yùn)業(yè)而言，我們卻需要冷靜思考：面對(duì)病毒肆虐，網(wǎng)絡(luò)安全該如何強(qiáng)身健體？

隱性風(fēng)險(xiǎn) 意識(shí)覺(jué)醒

據(jù)外媒報(bào)道：新加坡船東協(xié)會(huì)（SSA）總裁Esben Poulsson曾在2016年公開(kāi)表示，目前超過(guò)90%的公司高管都說(shuō)他們沒(méi)有閱讀網(wǎng)絡(luò)安全報(bào)告，也沒(méi)有做好處理網(wǎng)絡(luò)攻擊的準(zhǔn)備。盡管這一說(shuō)法的準(zhǔn)確性與真實(shí)性難以考證，但其卻從側(cè)面反映出這樣一個(gè)問(wèn)題：航運(yùn)公司對(duì)于網(wǎng)絡(luò)安全的重視還待加強(qiáng)。

2011年，意大利某油船從阿拉伯灣啟程前往地中海途中被海盜劫持。事后調(diào)查發(fā)現(xiàn)，該船從行程、貨物、船員、地點(diǎn)到無(wú)武裝警衛(wèi)等信息無(wú)不都被海盜雇傭的技術(shù)人員提前獲悉。而探究海盜“有的放矢”的源頭則來(lái)自岸基的網(wǎng)絡(luò)漏洞。2017年3月的RSA安全大會(huì)上，《Verizon數(shù)據(jù)外泄匯編報(bào)告》也向外界展示了海盜捆綁黑客利用網(wǎng)絡(luò)技術(shù)搶劫某集裝箱船舶的案例。令人震驚的是，一改往常的綁架索要贖金流程，涉事海盜在登船后迅速搶走了一個(gè)內(nèi)裝昂貴貨物的集裝箱，隨后便揚(yáng)長(zhǎng)而去。海盜的背影無(wú)疑讓業(yè)界對(duì)網(wǎng)絡(luò)安全與精準(zhǔn)搶劫有了新的認(rèn)知與思考。顯然，海盜與黑客組合可能達(dá)到“1+1＞2”的效果。而且案例的出現(xiàn)也恰恰說(shuō)明，航運(yùn)業(yè)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)無(wú)處不在。

而且就在記者截稿前，與WannaCry類似的勒索病毒卷土重來(lái)，發(fā)動(dòng)了新一輪的全球性攻擊，重創(chuàng)了全球諸多港口。據(jù)相關(guān)媒體報(bào)道，一位Reddit用戶聲稱在紐約和新澤西州的APM碼頭系統(tǒng)崩潰，并顯示需要比特幣贖金。與此同時(shí)，業(yè)內(nèi)媒體《JOC》的報(bào)道也證實(shí)了這點(diǎn)，《JOC》表示此次事件對(duì)APM碼頭公司影響較大，Maasvlakte II碼頭已關(guān)閉。此外，還有一些美國(guó)碼頭包括伊麗莎白港、新澤西港的碼頭在病毒爆發(fā)后的第二天仍然關(guān)閉。印度最大集裝箱港口賈瓦哈拉爾尼赫魯港(JNPT)也宣布，已成為全球新一輪勒索病毒攻擊的目標(biāo)，三分之一的碼頭運(yùn)營(yíng)受到干擾。一些港口在遭受攻擊后只能試圖使用人力清理到港集裝箱，而這導(dǎo)致了港口運(yùn)營(yíng)能力的急速下降。據(jù)介紹，一些港口在受到病毒侵害后，運(yùn)營(yíng)能力僅能維持正常狀態(tài)下的三分之一。不僅如此，由于裝卸貨的延誤，也不免導(dǎo)致了大批集裝箱的堆積，催生出港區(qū)擁堵現(xiàn)象。同時(shí)“糟糕”的狀況不僅存在于港口方。港口“癱瘓”更倒逼一些航運(yùn)公司的船舶只能掛靠第三方碼頭。

不可不說(shuō)此次的網(wǎng)絡(luò)事件讓航運(yùn)、港口方嘗盡苦頭，但伴隨著“痛苦”也有一種改變?cè)谇娜话l(fā)生。就在一年前，“網(wǎng)絡(luò)安全”問(wèn)題還被作為各公司的“禁忌”話題而被雪藏。當(dāng)年P(guān)anda Security公司曾邀請(qǐng)數(shù)十個(gè)曾經(jīng)遭受過(guò)網(wǎng)絡(luò)攻擊的油運(yùn)公司協(xié)助處理，并且聲明這些服務(wù)均是免費(fèi)，但卻沒(méi)有一家公司愿意協(xié)助報(bào)告入侵事件。Panda Security相關(guān)專家認(rèn)為：“究其原因，主要癥結(jié)還是在于船公司擔(dān)心自身IT安全網(wǎng)絡(luò)漏洞會(huì)被外界認(rèn)為其存在高風(fēng)險(xiǎn)點(diǎn)。此外，如果此問(wèn)題無(wú)法根除，則更容易讓人誤解為船公司‘默許’客戶機(jī)密信息泄露?！倍缃瘢啾扔谝荒昵暗摹熬}默”，現(xiàn)下航運(yùn)業(yè)在應(yīng)對(duì)網(wǎng)絡(luò)安全問(wèn)題上有了翻轉(zhuǎn)式的認(rèn)識(shí)與態(tài)度。此次病毒爆發(fā)后，我們看到了航運(yùn)公司為解除客戶顧慮，力圖通過(guò)各種渠道“直播”問(wèn)題解決進(jìn)程的做法。如此透明的做法，不可不說(shuō)是對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)最有力的宣戰(zhàn)。而且伴隨著未來(lái)成長(zhǎng)，我們有理由相信業(yè)界有能力妥善處理好網(wǎng)絡(luò)安全風(fēng)險(xiǎn)問(wèn)題。

Safety& Security

安聯(lián)全球企業(yè)及特殊風(fēng)險(xiǎn)有限公司(AGCS)曾在去年的年報(bào)中表示，網(wǎng)絡(luò)攻擊已經(jīng)嚴(yán)重干擾到了現(xiàn)代化的船舶駕駛臺(tái)系統(tǒng)安全和先進(jìn)的船舶技術(shù)發(fā)展。不僅如此，報(bào)告的調(diào)研結(jié)果也流露出了外界對(duì)與船舶行業(yè)網(wǎng)絡(luò)安全問(wèn)題的高度關(guān)切。當(dāng)然，這種關(guān)注也從側(cè)面衍生出了如何做才能確保在航船舶網(wǎng)絡(luò)安全這一議題。中國(guó)船級(jí)社（CCS）智能船舶工作組組長(zhǎng)蔡玉良認(rèn)為，船公司有必要正確理解并重視船舶網(wǎng)絡(luò)安全中“Safety”與“Security”的兩層含義。

至于如何理解中文同樣被翻譯成“安全”的兩詞，蔡玉良在采訪中向記者作了細(xì)致說(shuō)明：“Safety”一詞意在通過(guò)技術(shù)有效維護(hù)營(yíng)運(yùn)船舶的網(wǎng)絡(luò)安全。關(guān)于這一層面，也許有人會(huì)認(rèn)為如果船上不與岸基溝通，其也就相當(dāng)于一個(gè)“內(nèi)網(wǎng)”。對(duì)于管控內(nèi)網(wǎng)而言，只要管理得當(dāng)，便較難出現(xiàn)網(wǎng)絡(luò)安全問(wèn)題。但實(shí)際情況卻并非如此簡(jiǎn)單。目前，越來(lái)越多的新造船舶采用信息技術(shù)，將船舶輪機(jī)監(jiān)控系統(tǒng)、航海駕駛智能化系統(tǒng)等納入一個(gè)統(tǒng)一的網(wǎng)絡(luò)系統(tǒng)，以實(shí)現(xiàn)船舶管控一體化。以綜合橋樓系統(tǒng)為例，伴隨高度集中化、系統(tǒng)化的綜合橋樓系統(tǒng)為航運(yùn)業(yè)帶來(lái)方便，其對(duì)于網(wǎng)絡(luò)安全的依賴性也越來(lái)越強(qiáng)。

談到這里，記者不禁聯(lián)想到了采訪當(dāng)中了解到的一個(gè)案例。據(jù)一位曾經(jīng)參與過(guò)船舶能效監(jiān)控項(xiàng)目的業(yè)內(nèi)人士介紹，當(dāng)下不少航運(yùn)公司都在推進(jìn)“大數(shù)據(jù)”時(shí)代下的數(shù)據(jù)積累與挖掘工作，而想要收集這些數(shù)據(jù)則需要在船舶計(jì)算機(jī)后方接口處添加能效監(jiān)控硬件?！耙来坝?jì)算機(jī)后方接口連接了主機(jī)、GPS盒子與風(fēng)速儀等設(shè)備。一旦病毒侵入，那么整艘船舶都將陷入危險(xiǎn)之中。所以如何保證數(shù)據(jù)以及營(yíng)運(yùn)船舶的網(wǎng)絡(luò)安全，這就需要在技術(shù)層面給予充分考慮?！彼忉尩剑骸盀榱朔乐共话踩F(xiàn)象出現(xiàn)，我們特意加裝了光電隔離的接口設(shè)備。其可將光信號(hào)與電信號(hào)進(jìn)行相互轉(zhuǎn)化?？梢哉f(shuō)光電隔離設(shè)備保證了眾多船舶電器設(shè)備的不互相干擾，掃平了病毒所致的船舶安全風(fēng)險(xiǎn)?！北M管這一做法僅是“Safety”一詞中的“滄海一粟”，但其理念與做法卻值得業(yè)內(nèi)借鑒。

相比于船舶網(wǎng)絡(luò)安全中較為直觀的“Safety”，“Security”的含義則偏重于概括安保、管理層面的相關(guān)內(nèi)容。在采訪中記者了解到，船舶靠港后往往存在多家配件供應(yīng)商同時(shí)上船進(jìn)行相關(guān)服務(wù)的現(xiàn)象。在此期間，相應(yīng)的軟件維護(hù)商也會(huì)上船對(duì)目標(biāo)船舶的軟件系統(tǒng)進(jìn)行檢測(cè)、維護(hù)、升級(jí)等工作。專家坦言：“如若缺乏相應(yīng)的安保管理，那么此時(shí)就較易通過(guò)外界具備數(shù)據(jù)傳輸?shù)拇霸O(shè)備和系統(tǒng)途徑使船舶計(jì)算機(jī)感染病毒?！辈⒎强照劊?yàn)榫驮诮衲闎IMCO海事安全辦公室主管Giles Noakes還曾針對(duì)此種“無(wú)意”的網(wǎng)絡(luò)威脅談到：雖然設(shè)計(jì)系統(tǒng)和不受保護(hù)的船載網(wǎng)絡(luò)令人嚴(yán)重?fù)?dān)憂，但通過(guò)USB傳輸惡意軟件仍是目前最大的威脅之一。不僅如此，其還舉例談到：“比如說(shuō)，一個(gè)船員在ECDIS系統(tǒng)連接USB給手機(jī)充電，從而感染病毒導(dǎo)致整個(gè)系統(tǒng)無(wú)法運(yùn)行。這是個(gè)代價(jià)昂貴的錯(cuò)誤?！?/p>

安全“落地”

采訪中，CCS智能船舶工作組組長(zhǎng)蔡玉良向記者介紹，CCS將網(wǎng)絡(luò)安全研究作為重要課題，并提供解決方案，旨在降低船舶生命周期各階段的網(wǎng)絡(luò)風(fēng)險(xiǎn)。在國(guó)際上，CCS承擔(dān)國(guó)際船級(jí)社協(xié)會(huì)（IACS）網(wǎng)絡(luò)安全的重要議題研究工作，并積極推進(jìn)網(wǎng)絡(luò)安全要求在公約和規(guī)范體系中的落實(shí)。標(biāo)準(zhǔn)方面，CCS推出了《船舶網(wǎng)絡(luò)要求及安全評(píng)估指南》，用以幫助船東和管理公司規(guī)范化船舶網(wǎng)絡(luò)的體系建設(shè)，并提供量化評(píng)估辦法；CCS建立了一支專業(yè)化程度高，集合了檢驗(yàn)、審核、IT、風(fēng)險(xiǎn)分析等多領(lǐng)域人才的專家隊(duì)伍，為業(yè)界提供網(wǎng)絡(luò)安全的評(píng)估與咨詢服務(wù)，目前已完成了示范船舶的評(píng)估及公司審核；科研方面，CCS針對(duì)安全標(biāo)準(zhǔn)、安全態(tài)勢(shì)感知、威脅數(shù)據(jù)分析、針對(duì)性防御分析、漏洞掃描與滲透測(cè)試等網(wǎng)絡(luò)安全中的關(guān)鍵技術(shù)問(wèn)題開(kāi)展了專項(xiàng)攻關(guān)與實(shí)驗(yàn)，為評(píng)估服務(wù)提供有力支撐；此外，CCS還將網(wǎng)絡(luò)安全與智能船舶測(cè)評(píng)、驗(yàn)證等工作結(jié)合，與大連海事大學(xué)、中船工業(yè)系統(tǒng)工程研究院等單位開(kāi)展深度合作，進(jìn)行聯(lián)合研究。

蔡玉良補(bǔ)充談到：“國(guó)際安全管理規(guī)則（ISM Code）的核心是要求船東應(yīng)該識(shí)別船舶可能存在的風(fēng)險(xiǎn)，并采取相應(yīng)措施。鑒于目前業(yè)內(nèi)已達(dá)成網(wǎng)絡(luò)安全為高風(fēng)險(xiǎn)的共識(shí)，未來(lái)CCS將進(jìn)一步推進(jìn)將網(wǎng)絡(luò)安全納入到ISM Code的進(jìn)程。另外，IMO第98屆海上安全委員會(huì)通過(guò)并發(fā)布了《海上網(wǎng)絡(luò)風(fēng)險(xiǎn)管理指南》，并在有關(guān)提高海事安全措施的決議中，鼓勵(lì)各國(guó)政府確保不遲于2021年1月1日之后的首次DOC年度驗(yàn)證時(shí)，反映網(wǎng)絡(luò)風(fēng)險(xiǎn)管理的相關(guān)內(nèi)容，如加強(qiáng)人員培訓(xùn)、提高人員安全意識(shí)、規(guī)范訪問(wèn)管理等方面。合力之下，相信未來(lái)航運(yùn)業(yè)來(lái)自網(wǎng)絡(luò)安全層面的風(fēng)險(xiǎn)將會(huì)得到有效遏制?！?/p>

其實(shí)，近年來(lái)CCS針對(duì)網(wǎng)絡(luò)安全威脅已經(jīng)做了大量工作。如在2015年發(fā)布的《智能船舶規(guī)范》，從智能船舶從設(shè)計(jì)、建造到運(yùn)營(yíng)全生命周期，全方位詮釋并解決網(wǎng)絡(luò)安全問(wèn)題與智能船舶的交集；不僅如此，在擔(dān)任IACS主席期間，CCS牽頭了網(wǎng)絡(luò)系統(tǒng)委員會(huì)軟件維護(hù)指南（software maintenance）的編寫(xiě)工作，同時(shí)參與網(wǎng)絡(luò)體系結(jié)構(gòu)（Network Architecture）、網(wǎng)絡(luò)安全（Network Security）、遠(yuǎn)程更新/訪問(wèn)（Remote Update/ Access）指南的編寫(xiě)。這些成果被視為與業(yè)界一同重視并解決網(wǎng)絡(luò)安全問(wèn)題最實(shí)用的一記“組合拳”；近期，CCS發(fā)布了《船舶網(wǎng)絡(luò)系統(tǒng)及安全評(píng)估指南》，通過(guò)對(duì)軟件、硬件及風(fēng)險(xiǎn)三方面的指導(dǎo)意見(jiàn)，進(jìn)一步針對(duì)網(wǎng)絡(luò)狀況及網(wǎng)絡(luò)產(chǎn)品進(jìn)行安全評(píng)估，協(xié)助航運(yùn)業(yè)防范網(wǎng)絡(luò)風(fēng)險(xiǎn)； CCS成立了船舶網(wǎng)絡(luò)空間安全研究中心，在網(wǎng)絡(luò)安全技術(shù)與管理體系方面展開(kāi)研究，為航運(yùn)企業(yè)提供系統(tǒng)的網(wǎng)絡(luò)測(cè)試、評(píng)估及技術(shù)咨詢服務(wù)。“眾人拾柴才能火焰高”。針對(duì)網(wǎng)絡(luò)安全威脅，航運(yùn)企業(yè)本身也應(yīng)從微觀層面制定一套適合自身的、行之有效的管理流程，才能形成“雙保險(xiǎn)”保證網(wǎng)絡(luò)安全“落地”。那么如何做才能充分發(fā)揮船舶計(jì)算機(jī)作用，保障船舶端信息化硬件、軟件及網(wǎng)絡(luò)設(shè)備的正常使用與安全呢？記者在采訪中也總結(jié)了一些管理示例，供業(yè)內(nèi)參考。

首先，建議船公司專門(mén)設(shè)置相關(guān)責(zé)任部門(mén)擔(dān)負(fù)起制定船舶計(jì)算機(jī)網(wǎng)絡(luò)配置規(guī)范與標(biāo)準(zhǔn)的職責(zé)。主要針對(duì)船舶計(jì)算機(jī)網(wǎng)絡(luò)，按照各船實(shí)際條件分別以小型局域網(wǎng)或工作組成網(wǎng)，保持標(biāo)準(zhǔn)配置，減少不必要的干擾因素。針對(duì)船舶上的服務(wù)器、電子郵件通訊計(jì)算機(jī)、船長(zhǎng)辦公室計(jì)算機(jī)、輪機(jī)長(zhǎng)辦公室計(jì)算機(jī)、甲板部辦公室計(jì)算機(jī)、輪機(jī)部辦公室計(jì)算機(jī)等連入網(wǎng)絡(luò)內(nèi)的工作用計(jì)算機(jī)責(zé)任部門(mén)，都需提供IT技術(shù)支持，并負(fù)責(zé)船舶計(jì)算機(jī)及設(shè)備的日常購(gòu)置更新工作。

其次，船長(zhǎng)是船舶計(jì)算機(jī)安全管理的責(zé)任人。應(yīng)擔(dān)負(fù)起組織船員嚴(yán)格按照公司要求使用和管理船舶計(jì)算機(jī)硬件、軟件、船舶信息系統(tǒng)和相關(guān)資料等責(zé)任。特別提示，船長(zhǎng)應(yīng)負(fù)責(zé)監(jiān)督和檢查船舶電腦的使用狀況，未經(jīng)船長(zhǎng)同意，任何人不得隨意更改硬件設(shè)備位置及用途。除此以外，船員應(yīng)按照授予的權(quán)限使用船舶信息系統(tǒng)，并嚴(yán)格管理用戶帳號(hào)和密碼，防止計(jì)算機(jī)泄密。船舶二副應(yīng)負(fù)責(zé)保管公司以文件、電子郵件等下發(fā)的船舶信息系統(tǒng)、應(yīng)用軟件的重要操作說(shuō)明、安裝資料，計(jì)算機(jī)跟機(jī)配備的技術(shù)資料等。這其中包括使用說(shuō)明、操作指南、安裝/恢復(fù)光碟、設(shè)備驅(qū)動(dòng)程序、軟件使用權(quán)證等，須將有關(guān)資料分類登記做好清單、標(biāo)記并以獨(dú)立的文件盒保管，放置在備件柜。當(dāng)船舶信息系統(tǒng)、應(yīng)用軟件的操作說(shuō)明或安裝光碟升級(jí)改版時(shí)，由二副負(fù)責(zé)把保管的資料與光碟及時(shí)更新，確保電報(bào)室始終保留一份完整的、更新及時(shí)的資料。

最后，公司登輪檢查人員應(yīng)利用上船檢查機(jī)會(huì)，對(duì)船舶計(jì)算機(jī)管理執(zhí)行檢查，行政人事部提供必要的技術(shù)支持。檢查范圍包括船舶計(jì)算機(jī)軟件安裝情況，信息系統(tǒng)和計(jì)算機(jī)的資料保管情況、防病毒軟件安裝更新情況以及信息系統(tǒng)的使用情況等，檢查結(jié)果分別提交公司機(jī)務(wù)部主管領(lǐng)導(dǎo)審閱，由機(jī)務(wù)部向公司行政人事部報(bào)備。

隨著船舶智能化的發(fā)展，其安全性和可靠性變得更加重要，網(wǎng)絡(luò)安全管理也變得越來(lái)越復(fù)雜。在發(fā)展過(guò)程中，業(yè)界必須正視智能化快速發(fā)展中出現(xiàn)的問(wèn)題，要在問(wèn)題的發(fā)現(xiàn)與改善中不斷取得更為良性的發(fā)展，發(fā)揮其最大作用。未來(lái)，只有把網(wǎng)絡(luò)安全防護(hù)技術(shù)、影響網(wǎng)絡(luò)安全的因素結(jié)合起來(lái)，采取可行性高的防護(hù)措施，建立健全防護(hù)體系，增強(qiáng)單位內(nèi)部人員的網(wǎng)絡(luò)安全意識(shí)和技能，才能真正從源頭上解決網(wǎng)絡(luò)安全問(wèn)題。