Kibernetički rizik više nije sporedno pitanje na brodu – čak 94 posto analiziranih sustava zahtijeva razmatranje ili provođenje odgovarajućih mjera
Suvremeni brod odavno nije samo mehanički sustav. Pogon, kormilarenje, navigacija, upravljanje teretom i komunikacije danas se oslanjaju na računalne sustave koji su međusobno povezani u mreže, a često i s kopnom, što ih čini izloženima kibernetičkim prijetnjama. Posljedice napada stoga nisu ograničene na gubitak podataka: mogu ugroziti sigurnost plovidbe, posade i morskog okoliša. U takvim okolnostima procjena kibernetičkog rizika opreme postaje jednako važna kao i procjena njezine mehaničke pouzdanosti.
U rujnu 2026. tvrtka za kibernetičku sigurnost CYTUR objavila je sažetak prijetnji (Threat Brief) u kojem je analizirala više od desetak procjena kibernetičkog rizika pomorske opreme. Prema izvješćima pomorskih medija, u 94 % procijenjenih sustava rizik je ocijenjen na razini na kojoj obradu rizika treba razmotriti ili je ona nužna. Naslovna je brojka upečatljiva, no argument ovog eseja jest da je važnija metodološka poruka analize: kibernetički rizik brodske opreme ne može se pouzdano procjenjivati samo brojanjem poznatih ranjivosti. U nastavku se prikazuju nalazi analize, smještaju se u regulatorni okvir i kritički vrednuju, a zatim se razmatraju njihove posljedice za brodovlasnike, brodogradilišta i proizvođače opreme.
Nalazi analize
Analizirani su sustavi više od deset proizvođača iz šest kategorija: upravljanje pogonom, sigurnosni sustavi, automatizacija, navigacija, komunikacije i brodski informacijski sustavi (The Digital Ship, 2026). Procjene su reklasificirane prema kriterijima obrade rizika (risk treatment) iz Preporuke br. 171 Međunarodnog udruženja klasifikacijskih društava (IACS). Prema tom okviru razina rizika (risk level, RL) niža od 4 smatra se neobveznom, razina od 4 do 12 primjerenom, a razina iznad 12 znači da je obrada rizika obvezna. Oko 34 % sustava svrstano je u kategoriju primjerene, oko 60 % u kategoriju obvezne obrade, a samo 6 % u kategoriju neobvezne; zbroj prvih dviju kategorija daje naslovnih 94 %.
Autori analize izričito upozoravaju da se ta brojka ne smije čitati kao udio ranjive opreme na tržištu. Sustave su naručili klijenti tvrtke CYTUR, pa uzorak nije ni slučajan ni reprezentativan. Postotak dakle opisuje procijenjeni uzorak, a ne stanje pomorske industrije u cjelini.
Najzanimljiviji je nalaz o odnosu broja ranjivosti i razine rizika. Integrirani sustav automatizacije (IAS) s više od 200 utvrđenih ranjivosti iz baze CVE dobio je razinu rizika 20, dok je drugi IAS s oko 20 ranjivosti dobio razinu 16; oba su svrstana u kategoriju obvezne obrade rizika. Deset puta manji broj ranjivosti stoga nije doveo do razmjerno nižeg rizika. Dodatna izvješća navode da su ranjivosti bile koncentrirane u komponentama isporučenima zajedno s opremom te da su u pojedinim sustavima pronađeni nepodržani operacijski sustavi i ranjivosti koje su ostale neotklonjene iako su sigurnosna upozorenja i zakrpe dostupni već godinama.
Regulatorni i normativni okvir
Zahtjev za procjenom rizika nije novost, ali se njegovo težište pomaknulo. Rezolucija Međunarodne pomorske organizacije (IMO) MSC.428(98) iz 2017. traži da se kibernetički rizici uključe u sustav upravljanja sigurnošću broda, najkasnije do prve godišnje ovjere dokumenta o sukladnosti nakon 1. siječnja 2021. (IMO, 2017a), a oslanja se na smjernice MSC-FAL.1/Circ.3 (IMO, 2017b). Taj je okvir usmjeren na organizaciju i upravljanje u brodarskoj kompaniji. Jedinstveni zahtjevi IACS-a E26 i E27 idu korak dalje jer tehničke zahtjeve ugrađuju u klasifikacijska pravila: E26 obuhvaća kibernetičku otpornost broda kao cjeline, a E27 sustava i opreme na brodu, a primjenjuju se na nove brodove ugovorene za gradnju 1. srpnja 2024. i poslije (IACS, 2023a, 2023b). Preporuka br. 171, čije su kriterije primijenili autori analize, objavljena je 2022. (IACS, 2022). Norma ISO 23799:2024 dodatno utvrđuje elemente procjene kibernetičke sigurnosti na brodu, uključujući pripremu procjene te identifikaciju, analizu i vrednovanje rizika (ISO, 2024).
Zajednička je točka tih dokumenata opće načelo procjene rizika prema kojem rizik ovisi o vjerojatnosti događaja i o njegovoj posljedici (NIST, 2012). Analiza CYTUR-a pokazuje kako se okvir zasnovan na tom načelu ponaša u praksi: ishod procjene ne slijedi broj ranjivosti, nego svojstva sustava i njegova okruženja.
Zašto broj ranjivosti nije rizik
Kratica CVE (Common Vulnerabilities and Exposures) označava popis javno objavljenih ranjivosti, a ne mjeru rizika. Sustav bodovanja CVSS ocjenjuje težinu pojedine ranjivosti, ali se ta ocjena ne smije izjednačiti s procjenom rizika (FIRST, 2023). Rizik nastaje tek kada se ranjivost može doseći, kada postoji put od napadača do sustava i kada kompromitacija ima ozbiljnu posljedicu. Tome odgovaraju četiri čimbenika koja je CYTUR izdvojio i koja treba promatrati zajedno: ranjivost (postoje li poznate ranjivosti), izloženost (koji su mrežni portovi i usluge doista aktivni te koriste li se autentifikacija i šifriranje), povezanost (na koje je mreže oprema spojena i ima li put prema drugim brodskim sustavima) i utjecaj (mogući učinak kompromitacije na plovidbu, sigurnost i zaštitu okoliša) .
Dva suprotna primjera to jasno ilustriraju. Sustav s brojnim poznatim ranjivostima može biti manje izložen napadu ako mu je pristup strogo ograničen. Obrnuto, sustav s malo ranjivosti može nositi visok rizik ako ima izloženu funkciju daljinskog upravljanja, povezan je s drugim kritičnim sustavima i obavlja ključnu funkciju broda. Brojanje ranjivosti stoga može dovesti do dviju pogrešaka: do precjenjivanja rizika dobro izoliranog sustava i do podcjenjivanja rizika sustava koji u izvješću o skeniranju izgleda „čist“, a zapravo je izložen i ključan.
Takvo stajalište nije usamljeno u stručnoj literaturi. Tam i Jones (2019) predlažu okvir MaCRA, temeljen na modelu, koji procjenu kibernetičkog rizika u pomorstvu zasniva na strukturi brodskih sustava i mogućim posljedicama napada, a Svilicic i suradnici (2019) prikazuju procjenu provedenu na stvarnom brodu, čime naglašavaju da je predmet procjene konkretna konfiguracija plovila, a ne oprema u apstraktnom smislu.
Posljedice za dionike životnog ciklusa plovila
CYTUR nalaze pretvara u preporuke za tri skupine dionika. Brodovlasnicima i upraviteljima brodova preporučuje da prije isporuke opreme pribave popis imovine koji obuhvaća sklopovlje, softver, ugrađeni softver (firmware) i aktivne portove, da rizike rangiraju prema izloženosti, povezanosti i utjecaju, a ne prema broju ranjivosti, te da tijekom eksploatacije broda uspostave periodične ponovne procjene. Brodogradilištima preporučuje da u uvjete isporuke opreme uključe onemogućavanje neiskorištenih portova i usluga te ažurnost ugrađenog softvera, uz mjerena skeniranja tijekom integracije sustava i pokusne plovidbe kojima se utvrđuju razlike između projektirane i stvarne mrežne konfiguracije, a ispravci se potvrđuju ponovnim mjerenjem. Proizvođačima opreme preporučuje popis softverskih komponenata (software bill of materials, SBOM) koji obuhvaća i vlastite proizvode i komponente treće strane, provjeru neiskorištenih portova, usluga i sučelja za upravljanje u zadanim konfiguracijama prije otpreme te dostavu rezultata provjere nakon otklanjanja ranjivosti brodogradilištima i brodovlasnicima .
Te preporuke zajedno čine lanac odgovornosti: proizvođač isporučuje transparentne podatke o sastavu i konfiguraciji, brodogradilište provjerava stvarno stanje mreže, a brodovlasnik održava procjenu do kraja radnog vijeka opreme. Osobito je važna provjera razlike između projektirane i stvarne konfiguracije. Izloženost i povezanost, dva od četiri čimbenika rizika, svojstva su ugrađenog sustava, a ne samog proizvoda, pa se mogu pouzdano utvrditi tek mjerenjem na brodu.
Kritički osvrt
Nalaze treba čitati s oprezom, i to iz najmanje triju razloga. Prvo, izvor je sažetak prijetnji tvrtke koja pruža usluge procjene, pa postoji komercijalni interes da se problem prikaže važnim; to ne obezvrjeđuje nalaze, ali ih čini potrebnima neovisne potvrde. Drugo, uzorak je malen i nije slučajan, pa se postoci ne mogu prenositi na cijelo tržište. Treće, ovaj se esej oslanja na medijske prikaze, a ne na izvorni sažetak, zbog čega ostaju nepoznati pojedinosti metodologije, primjerice način na koji su razine rizika dodijeljene pojedinim sustavima. Unatoč tim ograničenjima glavni je zaključak metodološki i ne ovisi o točnom postotku: dosljedan je regulatornom okviru koji rizik određuje vjerojatnošću i posljedicom.
Zaključak
Analiza tvrtke CYTUR pokazuje da je velik dio procijenjene brodske opreme, prema kriterijima Preporuke IACS-a br. 171, u kategoriji u kojoj je obrada kibernetičkog rizika primjerena ili obvezna. Ta se brojka zbog naravi uzorka ne smije generalizirati, ali pokazuje da procjena rizika u praksi često dovodi do zahtjeva za mjerama, a ne do zaključka da mjere nisu potrebne.
Važnija je poruka o načinu procjenjivanja. Broj ranjivosti ne može zamijeniti procjenu koja uzima u obzir izloženost, povezanost i mogući utjecaj na plovidbu, sigurnost i okoliš. Cilj kibernetičke sigurnosti, prema navodima tvrtke, nije nužno ukloniti sav rizik, nego razumjeti preostali rizik, opravdati njegovo prihvaćanje gdje je to potrebno i njime upravljati tijekom cijelog radnog vijeka opreme.
Uz regulatorni okvir koji se sve više prenosi na razinu pojedinog sustava, to znači da će proizvođači, brodogradilišta i brodovlasnici morati zajednički održavati provjerljive podatke o stvarnoj konfiguraciji opreme.
Milo Miklaušić, kap.
Navigirajte glavom, srcem i zvijezdama — ne samo ekranom.
Dragim pomorcima — sretni vam putovi, povoljni vjetrovi i siguran povratak kući!
Literatura
The Digital Ship (2026). 94% of assessed ship systems require cyber risk treatment, CYTUR report finds. Dostupno na: https://thedigitalship.com/news/maritime-satellite-communications/94-of-assessed-ship-systems-require-cyber-risk-treatment-cytur-report-finds/ (pristupljeno 29. rujna 2026.).
FIRST (2023). Common Vulnerability Scoring System Version 4.0: Specification Document. Forum of Incident Response and Security Teams. Dostupno na: https://www.first.org/cvss/v4.0/specification-document (pristupljeno 29. rujna 2026.).
IACS (2022). Recommendation No. 171. London: International Association of Classification Societies. Dostupno na: https://iacs.org.uk/resolutions/recommendations/161-180 (pristupljeno 29. rujna 2026.).
IACS (2023a). UR E26 (Rev.1) Cyber resilience of ships; UR E27 (Rev.1) Cyber resilience of on-board systems and equipment. London: International Association of Classification Societies. Dostupno na: https://iacs.org.uk/resolutions/unified-requirements/ur-e (pristupljeno 29. rujna 2026.).
IACS (2023b). IACS UR E26 and E27 Press Release. Dostupno na: https://iacs.org.uk/news/iacs-ur-e26-and-e27-press-release (pristupljeno 29. rujna 2026.).
IMO (2017a). Resolution MSC.428(98): Maritime Cyber Risk Management in Safety Management Systems. London: International Maritime Organization.
IMO (2017b). MSC-FAL.1/Circ.3: Guidelines on Maritime Cyber Risk Management. London: International Maritime Organization.
ISO (2024). ISO 23799:2024 Ships and marine technology — Assessment of onboard cyber safety. Geneva: International Organization for Standardization.
NIST (2012). Guide for Conducting Risk Assessments (NIST Special Publication 800-30, Rev. 1). Gaithersburg: National Institute of Standards and Technology.
Smart Maritime Network (2026). Maritime cyber risk levels may not follow standard assessments – report, 22. rujna 2026. Dostupno na: https://smartmaritimenetwork.com/2026/09/22/maritime-cyber-risk-levels-may-not-follow-standard-assessments-report/ (pristupljeno 29. rujna 2026.).
Svilicic, B., Kamahara, J., Rooks, M. i Yano, Y. (2019). Maritime cyber risk management: An experimental ship assessment. The Journal of Navigation, 72(5), 1108–1120.
Tam, K. i Jones, K. (2019). MaCRA: a model-based framework for maritime cyber-risk assessment. WMU Journal of Maritime Affairs, 18(1), 129–163.
