安全正当时|第十六讲 航运公司网络安全要这样管
| 时间：2020-08-24 | 编辑：E航网管理员 | 阅读：804 | 分享： |
随着人工智能、云计算、大数据、物联网和区块链等广泛应用，新技术对航运业上下游整条产业链的研发、制造、运营等都带来了巨大变革，由此引发的网络安全问题愈来愈引发社会关注。国际海事组织（IMO）海安会第98届大会讨论通过了MSC.428(98)决议，强调航运公司的安全管理体系应考虑网络风险管理，并鼓励各国政府应不迟于2021年1月1日之后的首次DOC（符合证明）初次审核、换证审核或年度审核时，应核查安全管理体系（SMS）是否包括了网络安全风险管理的相关内容。第98届大会同时还批准通过了《海事网络风险管理指南》，为业界应对航运网络安全风险提供了指导。
一、航运公司网络安全现状
（一）调研总体情况
2020年3月20日，我们向各航运公司发出《航运公司网络安全情况调查表》，至3月27日，共收回来自210家国际航运公司和363家国内航运公司的反馈。通过书面调研，希望能够了解到当前航运公司制度建设、人员工作能力、管理体系运行情况、日常运维内容和遇到的问题、对船舶的支持和指导、网络安全工作建议等；对于船舶，希望能够了解网络安全相关具体工作、船员安全相关意识和知识水平、管理体系贯彻执行情况、通信和驾机等各类系统的防护措施和可能存在的威胁、能够从公司获取的资源和对公司的诉求、网络安全工作建议等。
（二）调研中发现几个突出问题
1.网络安全管理体系建设程度低，内容覆盖不全面
各航运公司在网络安全管理体系建设方面总体上处于初级阶段。超过一半的国际航运公司，其体系文件尚未包含网络安全管理的内容，而国内航运公司该比例超过80%。部分公司的管理体系文件虽然在信息传输方面提了部分要求，但尚不足以覆盖网络安全各类风险。
2.未在公司层面明确网络安全工作负责人和机构，网络安全管理职责不清晰。
半数以上被调查公司的高层管理者未对网络安全给予足够重视，网络安全责任尚未落实。个别公司的网络安全工作完全无人负责，导致其网络安全工作处于“白纸一张”的状态。即使建立了网络安全工作责任制的航运公司，其管理体系文件编写的内容也相对粗放。例如，能够做到系统管理员、安全管理员、审计管理员“三员分开”的国际航运公司仅有8家，国内航运公司仅有6家，绝大多数公司均不设审计管理员。
3.缺乏网络安全应急预案，对信息系统不断增加和更新带来的风险无意识。
半数国际航运公司尚未建立网络安全应急预案。即使制定了网络安全应急预案的公司，能够做到定期修订、定期演练预案的国际航运公司仅占约1/5，国内航运公司的情况更加不容乐观。一旦遇到网络安全事件，大多数公司都将难以及时有效应对，风险较高。
4.缺乏网络安全相关培训制度，船员网络安全风险意识极低。
公司、船舶培训计划中均未包括网络安全技能和意识等相关内容，岸基人员、船员均缺少系统的网络安全培训，不具备进行风险评估的能力。由于在整体上对网络安全认识不够，相当多的航运公司不了解网络安全风险源，例如对内部人员失泄密或窃密风险缺乏警惕。
二、三种当前比较普遍的认识误区
（一）认识误区一：网络安全与航运公司关联不大
随着数字化时代的到来，网络安全已经与我们密切相关。特别是疫情期间，减少人员间直接接触的硬性要求，客观上加速了航运的数字化进程。尽管普及网络应用的智能船舶还处于研究阶段，并未大规模应用在船舶，但从技术应用发展趋势看，航运公司是全球To B生态建设以及区块链技术应用进程中的“重要一极”，而非简单的参与者。据“最航运”报道，越来越多的船公司加速“触网”，例如开展互联网直接订舱定价服务。6月11日，全球知名船公司“以星”携手一站式国际物流在线服务平台“运去哪”，正式加入运去哪集运头等舱服务。因此，网络与航运的结合越来越紧密，使船舶相关的各方（货主、港口、代理等）进一步构成命运共同体，一旦发生网络安全事件，各方皆有安全风险。
（二）认识误区二：船上智能化普遍较低，与网络关联度低
有观点指出，现在90%以上船舶尚处传统单船操作阶段，船舶操作系统尚未连接网络，发生被劫持等网络事件的概率极低。确实，按照严新平院士的判断，目前智能船舶正处于从第一阶段（仅限于船用设备状态远程监控和数据分析）向第二阶段（利用云计算、物联网和大数据分析等技术，通过连接岸上中心为船舶定时提供安全、环保和能效优化建议，实现半自动化航行）过渡，即使当前已经投入使用的最先进的智能船舶—“大智”轮、“凯征”轮，也依然处于第一阶段向第二阶段的过渡阶段。但也要看到，信息感知技术、通信导航技术、能效控制技术、航线规划技术、状态检测与故障诊断技术、遇险预警救助技术、驾机一体化和自主航行技术已或多或少应用于传统操作方式的船舶，现有的任一船舶都难以隔绝于网络之外。岸基通过现代通信技术（卫星网络等）调度船舶、船舶依靠电子海图技术航行、船舶依靠甚高频技术传输导航信息、船舶依靠信息感知技术监测船舶状态等，船舶总是处于互联网或局域网的一端。一旦遭受网络攻击，被错误的信息误导，就可能发生船舶错误判断航路、切断油路等危险事件，即使是传统船舶也不能幸免。
因此，无论是智能船舶，还是传统操作方式下的船舶，享受着网络技术便利的同时，也同样要面临网络威胁，皆要认真对待网络安全管理。
（三）认识误区三：网络安全归网信部门职责，非行业管理职责
有观点认为，网络安全是网信部门的事宜，非行业管理职责。习近平总书记2013年11月25日在青岛黄岛经济开发区考察输油管线泄漏引发爆燃事故抢险工作时强调，“要把安全责任落实到岗位、落实到人头，坚持管行业必须管安全、管业务必须管安全，加强督促检查、严格考核，全面推进安全生产工作。”任何一个现代化行业的发展都与网络技术息息相关，因而网络安全直接影响行业生产安全。近年来，网络安全威胁引发的安全事故比比皆是，远的如2011年浙江温州7·23动车事故，其源头是由于温州南站列控中心采集驱动单元采集电路电源回路中保险管F2遭雷击熔断后，采集数据不再更新，错误地控制轨道电路发码及信号显示，使行车处于不安全状态；近的如2019年3月7日，委内瑞拉电力系统遭遇到的网络攻击，造成该国历史上最大规模的停电，23个州中至少有20个陷入黑暗，沉重打击了交通系统和包括供水在内的公用事业的运行。航运业内也连续发生多起网络事件：信德海事网最新获悉，2020年5月19日，世界10大船舶管理公司之一的OSM Maritime Group官方发布信息确认其遭到了勒索软件的网络袭击，但好在袭击未遂；管理着600多艘船舶的中英船管Anglo-Eastern的官方网站也遭遇网络袭击不能打开；2017年世界最大集装箱航运公司马士基曾遭受网络病毒袭击，造成了约3亿美元的损失；2018年，中远海运美国公司也曾遭遇网络袭击，该公司美国地区系统网络故障，邮箱无法正常使用。
2017年6月1日实施《中华人民共和国网络安全法》第五十七条规定，“因网络安全事件，发生突发事件或者生产安全事故的，应当依照《中华人民共和国突发事件应对法》《中华人民共和国安全生产法》等有关法律、行政法规的规定处置。”由此看来，网络安全引发的安全生产事故，必然属于安全生产事故的一部分，也因此属于行业管理部门的职责。《网络安全法》第三十二条同时规定，“负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。”即，行业主管部门作为本行业关键信息基础设施安全保护“工作部门”，已经被法律授权监督指导本行业网络安全工作。
因此，网络安全对于行业主管部门不是可有可无的问题，也不是可以推脱出去的事项，而是法律赋予的职责。
三、几点建议
（一）航运公司迅速行动起来，将网络安全纳入公司安全管理，摆上议事日程。
航运公司应切实负起网络运营者的安全责任，邀请专业网络安全评估机构充分评估航运公司网络应用和安全风险的现状，根据评估情况制定相应的网络安全风险管理制度，纳入公司安全管理体系文件或制度中，同时按照全员制要求强化所有人员的网络安全知识培训，纳入年度培训计划，提高人员的网络安全意识水平和应急处置能力。
航运公司应按照《网络安全法》第二十一条和主管机关的要求，结合网络应用实际情况，同时充分考虑IMO的《海事网络风险管理指南》，实施航运公司网络安全等级保护制度及其他有关制度。
航运公司还应根据评估情况制定相应的应急处置预案，指导公司和船舶正确处置网络安全事件，及时备份数据，切断相应链接，避免不良事件进一步恶化。
（二）建议主管机关尽快制定航运公司网络安全风险评估制度。
尽管IMO在第101次海安会决议要求，不对航运公司强制要求建立单独的平行运行于安全管理体系的网络安全管理体系，但这不妨碍行业主管机关为强化航运网络安全管理，制定符合国情的网络安全政策。众所周知，我国一直坚持网络主权原则，严厉打击网络攻击行为。相较于IMO，我国应根据IMO428号决议和《网络安全法》的要求，制定更为符合国情的航运公司网络安全管理政策，指导航运公司做好网络安全防御和应对工作。
考虑到船舶类型各异，信息化程度参差不齐，宜分级分类提出航运网络安全要求。本着便于管理和有效区分的精神，建议适度划分航运网络安全等级数量，按照ABC划分航运公司的网络安全等级：
C级针对网络应用较少的公司和船舶，这类公司和船舶仅包含基本的网络应用，如邮件通讯等，网络安全事件不直接对船舶的安全操作产生影响；此类公司和船舶应制定相应的网络管理制度、明确的网络安全负责人、全员每年接受不少于4课时网络安全知识的培训。
B级针对网络应用较多的公司和船舶，包括建有局域网的公司和船舶，但是其网络不直接对船舶的安全操作产生重大影响；此类公司除了应覆盖C的制度和培训外，还应有相应不同网络事件下的应急预案等。
A级针对网络应用较广且网络与直接影响船舶安全操作的各类系统相连接的公司和船舶；此类公司和船舶除了覆盖B级的网络要求，还应有独立的隔离系统，能够保证在发生网络事件情况下，船舶操作控制系统依然能够运行。
航运公司可根据网络应用评估的情况自由选择相应等级的安全保护措施。在2021年首次审核后，审核发证机构应对符合证明和安全管理证书进行相应等级的标注，以便证明公司和船舶满足主管机关要求的具备妥善处理网络安全威胁能力。
参考文献：
1.沃燊海事 哥德堡港：新冠疫情可加速航运数字化 2020年5月6日
2. 最航运 最航运重磅 | 又一家船公司“触网”！携手运去哪 开启互联网订舱服务 2020年06月11日
3.严新平 智能船舶的研究现状与发展趋势 交通与港航：特别策划 2016年第1期
5.IMO Guideline on Maritime Cyber Risk Management MSC-FAL.1/Cir.3 2017年7月5日
6. Captain X 1 欧洲最大船企、两家世界级船管公司遭遇网络袭击 信德海事 2020年06月12日
来源：航运安全新动态
-
海事行政处罚越来越重！“以罚代管”征兆渐显……
海事行政处罚越来越重！“以罚代管”征兆渐显………查看全文
-
如中国油轮每次停船要宰525万美元！美国港口可能被绕过……
如中国油轮每次停船要宰525万美元！美国港口可能被绕过………查看全文
-
如中国油轮每次停船要宰525万美元！美国港口可能被绕过……
如中国油轮每次停船要宰525万美元！美国港口可能被绕过………查看全文
-
中远海自主研发智能洗舱机器人来了……
中远海自主研发智能洗舱机器人来了………查看全文
-
反转？多家美国大型零售商要求发货！关税美方承担……
反转？多家美国大型零售商要求发货！关税美方承担………查看全文
-
特朗普玩脱了？美信用机构将美国港口前景评为“负面”！
特朗普玩脱了？美信用机构将美国港口前景评为“负面”！…查看全文