ドイツBSIが、船舶に関連するサイバーセキュリティの強制力のあるガイドを出していますね。。。

こんにちは、丸山満彦です。

„Bundesamt für Sicherheit in der Informationstechnik” [wikipedia(de)]（連邦情報セキュリティ局）が、船舶に関連するサイバーセキュリティの強制力のあるガイドを出していますね。。。

貿易に船舶業務が重要という前提の上、最近の船舶や物流業務のオープン化が進んでいることがサイバーセキュリティリスクを増大させているということで、ガイドを出す必要があったということでうかね。

● BSI

・2020.09.08 MehrCyber-Sicherheit auf den Weltmeeren (More Cyber Security on the Oceans)

・2020.09.08 ISM Cyber Security

英語に訳してみました。

---

Increasing digitalization, enhanced interactivity, growing connectivity and the growing disappearance of network boundaries on board ships offer increasing opportunities for threats from internal and external cyber risks. It is necessary to support ship operations with individual measures and cyber risk management.

---

ファイルは

・2020.09.08 [PDF] ISMCyberSecurity

---

■ 参考となる過去の文書

● 運航（Schiffsbetrieb）

・2020.02.03 Neues IT-Grundschutz-Profil für den Schiffsbetrieb (New IT basic protection profile for ship operation)

・2020.01.31 IT-Grundschutz-Profil für Reedereien – Schiffsbetrieb

---

The IT-Grundschutz profile focuses on four business processes in the ship operation of a model shipping company and recommends security requirements that must be met in accordance with the approach of standard security according to IT-Grundschutz. These four business processes are technical operation, nautical operation, cargo operation and communication. The IT-Grundschutz profile helps with the entrance into information security and the determination of the most serious weak points in these processes and gives beyond that support for a resuming protection requirement determination and risk analysis.

---

・2020.01.24 [PDF] IT-Grundschutz-Profil für Reedereien Mindest-Absicherung für den Schiffsbetrieb

● 陸上業務 （Schiffsbetrieb）

・2018.12.18 IT-Grundschutzprofil für Reedereien veröffentlicht

・2018.12.18 IT-Grundschutz-Profil für Reedereien – Landbetrieb

---

The basic version of the IT-Grundschutz profile defines a minimum protection requirement in shipping company operations on land in the business processes Accounting and Technical Management. It is based on the IT-Grundschutz approach "Standard protection". The IT-Grundschutz profile offers an easy entry into information security and helps to identify the most serious weaknesses in the business processes under consideration. Furthermore, it also provides support for a further determination of protection requirements and risk analysis.

---

・2018.12.18 [PDF] IT-Grundschutz-Profil für Reedereien Mindest-Absicherung für den Landbetrieb

---

Einleitung

Zunehmende Digitalisierung, verstärkte Interaktivität, steigender Vernetzungsgrad und zunehmendes Verschwinden von Netzgrenzen an Bord von Schiffen bieten vermehrt Möglichkeiten für Bedrohungen durch interne und externe Cyber-Risiken.

In ein vernetztes und ungeschütztes IT/OT-System können Dritte, aber auch Besatzungsmitglieder, bewusst oder unbewusst Schadsoftware einbringen.

Technische Ausfälle und eine damit einhergehende Gefährdung des Schiffsbetriebs wären eine mögliche Folge.

In Krisengebieten können GNSS Signale (z.B. GPS) in einer Weise gestört werden, dass sie unbrauchbar werden.

Bleibt das Schiff ungeschützt, kann die Gefahr exponentiell zunehmen.

Es ist notwendig, den Schiffsbetrieb mit individuellen Maßnahmen und einem Cyberrisikomanagement (CRM) zu unterstützen.

Die im vorliegenden Dokument aufgeführten Informationen bauen auf dem Rundschreiben 04/2018 (ISM) auf, haben einen empfehlenden Charakter und beschreiben Ansätze zur Erstellung eines Cyberrisikomanagements zur Integration in das bestehende SMS der Reederei.

Das Dokument zeigt weiterhin die Schnittstellen auf zum • IT-Grundschutz des BSI • ISPS-Code und soll so eine Hilfestellung für ein ganzheitliches maritimes Cyberrisikomanagement geben.

Dieses Rundschreiben erhebt keinen Anspruch auf Vollständigkeit und ist keine Interpretation von internationalen oder nationalen Regeln.

---

序章

デジタル化の進展、双方向性の向上、ネットワークのレベルの上昇、船上でのネットワークの境界線の消失の増加は、内部および外部のサイバーリスクからの脅威の機会を増大させています。

ネットワークで保護されていないIT/OTシステムでは、第三者だけでなく、乗務員も意図的に、あるいは意図せずにマルウェアを導入してしまうことがあります。

技術的な障害とそれに伴う船舶運航への脅威は、起こりうる結果でしょう。

危機的な地域では、GNSS信号（GPSなど）が使用不能になるような形で妨害されることがあります。

船が無防備のままだと、危険度は指数関数的に上昇します。

個別対策とサイバーリスクマネジメント（CRM）で船舶運航を支援する必要があります。