«Ser un port resilient i cibersegur és un factor clau de competitivitat»

La ciberseguretat en el sector marítim ha deixat de ser un assumpte tècnic per convertir-se en una prioritat estratègica a nivell global.

• Organismes internacionals com l'OTAN han subratllat recentment la urgència de reforçar les defenses digitals dels ports, conscients que una bretxa en aquestes infraestructures crítiques pot tenir conseqüències de gran abast per al comerç, la seguretat energètica i l'estabilitat geopolítica.
• També la nova estratègia ProtectEU de la Comissió Europea considera els ports infraestructures clau, i la ciberseguretat és un dels seus principals pilars. D'acord amb el seu objectiu de reforçar la seguretat interior de la Unió.

En aquesta mateixa línia, la International Association of Ports and Harbors (IAPH) ha publicat les seves Directrius de Ciberresiliència per a Tecnologies Emergents, una fulla de ruta perquè els ports integrin la seguretat en tots els seus projectes tecnològics. Aquestes directrius criden a la cooperació internacional, a la capacitació dels equips i a l'adopció de marcs reguladors més sòlids que acompanyin la transformació digital del sector.

Des del Port de Barcelona, Chiara Saragani i Javier Garrido han participat en l'elaboració d'aquest informe i amb ells hem pogut desgranar algunes de les qüestions relacionades amb la ciberseguretat en l'àmbit portuari.

[PierNext] La IAPH subratlla la necessitat d'incorporar la ciberseguretat per disseny en les primeres fases de qualsevol projecte tecnològic portuari. Això ja s'està fent o continua sent una assignatura pendent?

[Javier Garrido]: És més aviat una assignatura pendent. De fet, l'objectiu d'aquesta guia és precisament conscienciar els equips directius —per exemple, a perfils C-Level— que les noves tecnologies, moltes d'elles vinculades a la digitalització, requereixen mesures de ciberseguretat des de zero. Només així, quan arribi un hacking, sabràs com actuar.

De les tecnologies analitzades en l'informe (IA, IoT, 5G, automatització, drons, energia verda i computació quàntica), quines suposen avui majors desafiaments per a les operacions portuàries?

[J.G.]: La computació quàntica està encara molt immadura, la qual cosa implica que desconeixem bé els riscos que pot plantejar davant d'un ciberatac. A més, cal considerar que les tecnologies emergents que permeten gestionar més informació també incrementen l'impacte potencial dels ciberatacs, en poder aprofitar aquesta major capacitat de computació de dades.

L'automatització és un altre repte: incrementa la productivitat, però també multiplica les dades digitals que poden ser objecte d'atac. Per exemple, si una terminal de contenidors queda bloquejada per un hacking, pot arribar a afectar el trànsit dels milers de camions que hi circulen.

[Chiara Saragani]: Aquestes tecnologies no només toquen diversos tipus d'activitats i objectius de la logística marítima, sinó que també poden ser aplicades en diferents àrees, fins a cobrir un entorn molt gran. Per això és fonamental que un port defineixi primer cap on vol avançar, com aplicarà aquestes tecnologies i en què li poden ser més útils. Només així podrà implementar una estratègia de ciberseguretat realment efectiva.

Per exemple, desplegar el 5G en un port pot portar anys de preparació, especialment per entendre bé els reptes que planteja des del punt de vista de la seguretat i com aprofitar els seus avantatges de forma segura.

Quines altres tecnologies poden ajudar a reforçar la ciberseguretat portuària?

[J.G.]: Encara que, com he dit encara no està madura, la computació quàntica també podria ajudar molt en el futur. Per exemple, amb l'Aprenentatge Automàtic Quàntic per detectar intents de phishing o per mapear infraestructures crítiques. En general, pot contribuir a contenir i neutralitzar atacs de forma primerenca.

La guia també insisteix en la formació del personal. S'està capacitant adequadament els equips portuaris per afrontar aquestes amenaces?

[C.S.]: Cada tecnologia té el seu propi ritme d'evolució i moltes solucions emergents encara requereixen un aprenentatge constant. Els departaments d'IT compten amb un coneixement sòlid i són clau en la gestió tecnològica interna, a més d'impulsar la formació contínua del personal per afrontar els nous reptes. Així mateix, la col·laboració amb empreses especialitzades en àrees concretes, com 5G o intel·ligència artificial, complementa aquesta expertesa i facilita una integració exitosa de les tecnologies en l'entorn portuari.

[J.G.]: A mesura que avança la digitalització, s'estan llançant iniciatives per formar tots els empleats del port en qüestions pràctiques relacionades amb la seguretat tecnològica.

Fins ara hem parlat en termes de futur, però hi ha hagut incidents destacables en els ports?

[J.G.]: Sí. El Port de Barcelona va patir un ciberatac el 20 de setembre de 2018. Gràcies als backups es va poder recuperar la normalitat aplicant un pla de contingència, però l'operativa es va veure parcialment afectada i, per exemple, durant alguns dies el personal de l'autoritat portuària no va poder accedir als seus ordinadors. Aquestes situacions, encara que dures, ajuden a estar millor preparats per a futurs incidents i preparar millors plans de contingència. D'altra banda, les navilieres també han patit atacs, com va ser el cas de Maersk el 2017, les pèrdues globals de la qual es van estimar al voltant de 250 milions de dòlars.

Quines lliçons es van extreure d'aquest atac?

[J.G.]: Vam crear un projecte innovador de ciberresiliència portuària que estem desenvolupant. En un port intervenen molts stakeholders i, si cadascun té el seu propi sistema aïllat, acabes amb múltiples portes d'entrada per a un potencial atac. Per això estem treballant en establir un SOC de SOCs, és a dir, un Centre d'Operacions de Seguretat Global que supervisi tots els SOC dels diferents agents portuaris. Així, si hi ha una bretxa en un d'ells, podem detectar-la ràpidament i coordinar la resposta per minimitzar l'impacte.

I a més del que s'ha après, ara quines són les prioritats en ciberseguretat del Port de Barcelona?

[C.S.]: Serà clau coordinar per complet el sistema de ciberresiliència del port, alguna cosa complexa perquè cada stakeholder té la seva pròpia forma de treballar. També serà important avaluar com les tecnologies emergents poden aportar seguretat: per exemple, el blockchain pot donar major robustesa a operacions digitals, el 5G permet respostes més ràpides davant d'incidents i la IA ajuda a prevenir riscos.

En termes de col·laboració internacional, quins mecanismes consideren més efectius per compartir intel·ligència d'amenaces?

[C.S.]: Més que projectes tancats, avui s'estan compartint idees entre diversos ports membres de la IAPH per posar en comú experiències, identificar interessos comuns i explorar vies de col·laboració.

De fet, aquesta guia busca precisament remarcar els desafiaments compartits i, potser en el futur, proposar línies generals que tots els ports puguin aplicar.

També cal tenir en compte que cada vegada bolquem més dades al núvol i que els ports estan més interconnectats. Un ciberatac a un d'ells pot posar en risc tota una xarxa d'infraestructures.

[J.G.]: A Europa ja s'està treballant en la EU Port Strategy i en els grups de treball s'està plantejant posar un especial focus en la ciberseguretat. Això permetrà establir un marc estratègic comú, encara que després cada país o port adapti els detalls.

No oblidem l'impacte econòmic: bloquejar un port pot paralitzar sectors sencers. En el cas del Port de Barcelona, per exemple, gairebé el 100% del gas que consumeix Catalunya s'importa a través del port. Si es bloqueja aquest trànsit, el dany econòmic seria enorme. El mateix passaria si es paralitza l'entrada de contenidors per a les fàbriques d'automòbils o de cereals per a la indústria alimentària.

Arribarem a poder predir ciberatacs?

[J.G.]: Per ara, la prioritat és consolidar aquest paraigua de ciberresiliència portuària que cobreixi tots els agents i assegurar les cadenes de custòdia de dades. A partir d'aquí, recopilant informació i fent simulacions, podrem millorar protocols i acostar-nos a predir atacs o, almenys, identificar els moments de major vulnerabilitat.

[C.S.]: Avui treballem més en prevenció i reconstrucció, però crec que a llarg termini podrem anticipar-nos o, com a mínim, detectar amb antelació quan som més vulnerables.