Gestione di una crisi cyber nel dominio marittimo
-Simulazione di un attacco combinato ai sistemi AIS e VTS-
di Sharon COCCOMINI

Riferimenti bibliografici
L’approfondimento che segue nasce sulla base di un lavoro scientifico prodotto presso la LUISS da alcuni ricercatori tra cui anche un socio del CeSMar. Ci sembrava interessante dare voce a questa meritoria attività attraverso una sintesi che mettesse in luce le conseguenze nei campi di pertinenza del nostro Centro Studi.
Di seguito gli autori: Sharon Coccomini, Asia Di Vincenzo, Alessandro Margarita, Emanuele Tentori. Gestione di una crisi cyber nel dominio marittimo: simulazione di un attacco combinato ai sistemi AIS e VTS., LUISS Guido Carli, Roma, Italia, Master in Cybersecurity: Politiche pubbliche, normative e gestione. Anno Accademico 2025/2026.

Introduzione

L’attuale scenario globale è testimone di una trasformazione radicale del settore marittimo, guidata da una digitalizzazione pervasiva che ha dato vita ai paradigmi dello smart shipping e degli smart ports. Questa evoluzione, sebbene finalizzata all’incremento dell’efficienza operativa e alla gestione ottimale dei flussi commerciali, ha introdotto nuove e insidiose vulnerabilità attraverso l’integrazione del cosiddetto maritime IoT. In questo contesto, la sicurezza della navigazione non può più essere considerata un concetto puramente nautico, ma dipende in modo critico dall’integrità, dalla riservatezza e dalla disponibilità dei flussi informativi che alimentano la rappresentazione operativa dello spazio marittimo.
Il presente lavoro analizza una crisi cibernetica multi-dominio, focalizzandosi sulle vulnerabilità strutturali di sistemi fondamentali come l’Automatic Identification System (AIS) e il Vessel Traffic Service (VTS). Attraverso la simulazione di un attacco condotto da una petroliera battente bandiera estera nelle acque territoriali italiane, emerge come la manipolazione dei dati di navigazione e l’uso di tecniche di jamming possano minare la sovranità nazionale e la consapevolezza situazionale (situational awareness) delle autorità costiere. L’obiettivo del saggio è dimostrare la necessità di una Common Operating Picture (COP) nazionale capace di integrare dati eterogenei provenienti dai domini cyber, radio e marittimo per garantire una risposta resiliente e coordinata. La gestione di tali crisi rappresenta oggi una sfida strategica di primaria importanza per la tutela degli interessi nazionali nel Mediterraneo.

I fatti descritti nel rapporto

L’incidente analizzato nel Master in Cybersecurity si sviluppa in un contesto di crescente digitalizzazione del settore marittimo, dove l’integrazione di sistemi informativi, sensoristica di bordo e infrastrutture portuali (il cosiddetto maritime IoT) ha enormemente ampliato la superficie di attacco. La crisi ha inizio quando una petroliera battente bandiera estera entra nelle acque territoriali italiane ponendo in essere un’operazione complessa di navigation warfare. L’attore ostile non agisce solo sul piano fisico, ma orchestra un attacco multi-dominio che vede la convergenza tra manipolazione radioelettrica e intrusione informatica. Il fulcro della manovra risiede nello sfruttamento delle vulnerabilità intrinseche dell’AIS (Automatic Identification System), un protocollo cooperativo nato privo di meccanismi di autenticazione o cifratura, che permette la trasmissione di messaggi falsificati senza la necessità di violare preventivamente un’infrastruttura IT. Attraverso tecniche di spoofing, la petroliera altera i propri dati di identità (MMSI), posizione e rotta, proiettando una rappresentazione distorta della realtà operativa.
La rilevazione dell’anomalia non è immediata, ma emerge grazie all’impiego del software di data fusion SPx Fusion, incaricato di integrare i segnali AIS con le tracce provenienti dai radar costieri. Gli operatori del Vessel Traffic Service (VTS) si trovano di fronte a un paradosso fisico: il sistema evidenzia un’imbarcazione che appare simultaneamente in due posizioni geografiche incompatibili tra loro. I dati trasmessi via radio mostrano salti di posizione e velocità che eccedono ogni parametro nautico plausibile, segnale inequivocabile di una manipolazione intenzionale. Mentre i sensori radar confermano la posizione reale della nave, il flusso informativo AIS tenta di ingannare il centro di controllo. Contemporaneamente, l’attaccante avvia un’attività di jamming sulle frequenze VHF dedicate (AIS1 e AIS2), saturando la banda radio per degradare la capacità delle stazioni costiere di ricevere segnali legittimi da altre unità in transito, aggravando così la perdita di consapevolezza situazionale.
Il quadro si complica drasticamente quando l’analisi tecnica rivela che l’azione radio è supportata da una compromissione del backend informatico del VTS. L’attore malevolo ha sfruttato una vulnerabilità critica e non mitigata, identificata come CVE-2025-22457, situata nel gateway Ivanti Connect Secure utilizzato per gli accessi remoti. L’intrusione è avvenuta in quattro fasi distinte: una fase iniziale di reconnaissance esterna per mappare i punti di accesso, l’exploitation della falla del gateway, il movimento laterale all’interno della rete per acquisire privilegi amministrativi e, infine, la fase operativa di manipolazione dei log e dei flussi informativi diretti alle console degli operatori. L’obiettivo di questa componente cyber era duplice: da un lato, rallentare le attività di rilevazione disattivando parzialmente i processi di registrazione degli eventi; dall’altro, minare l’integrità dei dati visualizzati, rendendo ancora più difficile per gli operatori distinguere tra guasti tecnici e attacchi deliberati.
Una volta dichiarato formalmente l’incidente, si attiva una complessa macchina di risposta strutturata secondo le fasi di Incident Response del modello CISA. La fase di contenimento si focalizza immediatamente sulla stabilizzazione dell’ambiente operativo. Nel dominio marittimo, gli operatori procedono all’isolamento logico degli identificativi MMSI anomali tramite filtri software e all’attivazione di una procedura di failover informativo. In questo scenario critico, la “fonte della verità” viene spostata forzatamente su sensori indipendenti come radar, GNSS e sistemi CCTV portuali, riducendo il peso informativo dei dati AIS compromessi. Sul piano informatico, viene attuata una segmentazione d’emergenza che isola il server VTS infetto dalla rete interna, impedendo all’attaccante di raggiungere altri asset critici. Vengono inoltre revocati i privilegi degli account amministrativi sospetti e interrotte tutte le sessioni remote attive.
La fase di eradicazione e ripristino (Eradication & Recovery) mira a rimuovere definitivamente la minaccia. Per contrastare lo spoofing e il jamming, viene richiesto l’intervento delle unità navali della Guardia Costiera per localizzare e neutralizzare fisicamente le sorgenti di disturbo radio, identificate tramite monitoraggio spettrale. All’interno del backend VTS, si procede alla bonifica dei sistemi da eventuali malware o web shell installate dall’attaccante per mantenere la persistenza. Il ripristino della piena funzionalità avviene attraverso il recupero dei dati da backup verificati e, soprattutto, tramite l’applicazione delle patch di sicurezza necessarie a chiudere definitivamente la vulnerabilità del gateway Ivanti. Durante queste ore, il monitoraggio viene elevato ai massimi livelli per intercettare eventuali residui di configurazioni errate.
Un elemento cruciale dei fatti descritti riguarda la gestione normativa e la coordinazione istituzionale, che si sviluppa in parallelo alle operazioni tecniche. Data la natura strategica dell’infrastruttura, l’organizzazione deve ottemperare a una stratificazione di obblighi legislativi. Entro un’ora dalla rilevazione, viene inviata la notifica la notifica ai sensi del Perimetro di Sicurezza Nazionale Cibernetica (PSNC), fornendo i dati minimi per attivare il CSIRT Italia. Entro 24 ore, viene trasmesso l’early warning previsto dalla Direttiva NIS2, che include una descrizione preliminare degli indicatori di compromissione e dell’impatto potenziale, valutato secondo criteri di dimensione geografica e rilevanza dei servizi coinvolti. Poiché il componente compromesso (Ivanti) ricade sotto il Cyber Resilience Act (CRA) come prodotto di Classe I, viene attivata anche la procedura di Coordinated Vulnerability Disclosure verso il produttore e l’ENISA. La crisi si chiude formalmente con una notifica completa entro 72 ore e una relazione finale dopo un mese, che integra l’analisi forense e le lessons learned.
Infine, le attività post-incidente includono un processo di Hotwash, ovvero un confronto strutturato tra tutti gli attori coinvolti (SOC, tecnici VTS, Guardia Costiera) per ricostruire la cronologia esatta degli eventi e identificare le lacune nel patch management e nella formazione del personale. Questa analisi evidenzia come la mancanza di sistemi automatici di validazione della plausibilità dei dati AIS sia stata una condizione abilitante per l’attacco, portando alla decisione di implementare alert avanzati basati sulla correlazione continua tra MMSI e traccia radar. L’incidente viene così trasformato in un’opportunità per rafforzare la resilienza complessiva del sistema-paese nel dominio marittimo.

Le conseguenze geopolitiche

L’attacco combinato descritto proietta la sicurezza nazionale in una dimensione di conflittualità ibrida, definibile come competizione nella grey zone (zona grigia). In questo spazio liminale, la distinzione tra pace e conflitto aperto svanisce, poiché gli attori ostili utilizzano l’ambiguità tecnica e l’impiego di mezzi civili — come la petroliera protagonista della simulazione — per perseguire obiettivi strategici senza innescare risposte militari convenzionali. L’azione di spoofing e jamming condotta da un’unità battente bandiera estera nelle acque territoriali italiane rappresenta un caso emblematico di navigation warfare, in cui la manipolazione dei dati di posizionamento diventa un’arma per minare la stabilità di uno Stato costiero. La principale conseguenza geopolitica risiede nella sfida diretta alla sovranità marittima: quando un attore straniero è in grado di falsificare la propria presenza e rotta, esso nega di fatto allo Stato costiero la capacità di esercitare il pieno controllo e la giurisdizione sulle proprie acque di interesse nazionale.
Un aspetto critico riguarda la credibilità nazionale nel monitoraggio dello spazio marittimo. Se un Paese non è in grado di garantire l’integrità dei sistemi AIS e VTS, la sua immagine come garante della sicurezza delle rotte commerciali internazionali viene compromessa. Questo ha ripercussioni non solo diplomatiche, ma anche economiche, poiché la percezione di insicurezza in un’area strategica può alterare i flussi di traffico e influenzare le politiche delle compagnie di navigazione e delle assicurazioni marittime. La posizione geografica dell’Italia, situata al centro del Mediterraneo e crocevia di rotte energetiche e commerciali vitali, amplifica la portata di questa minaccia. La sicurezza dei sistemi di monitoraggio diventa quindi una leva di potere strategico: chi controlla la verità dei dati operativi controlla la sicurezza del traffico e, di riflesso, la stabilità economica regionale.
L’incidente solleva inoltre il complesso problema dell’attribuzione. L’uso congiunto di interferenze radio e vulnerabilità cyber (come la falla Ivanti) permette all’attaccante di nascondersi dietro un velo di incertezza tecnica. In un contesto geopolitico, l’impossibilità di identificare con certezza e rapidità l’autore dell’attacco limita la capacità di risposta politica e sanzionatoria dello Stato colpito, lasciando l’attore ostile in una posizione di vantaggio psicologico e operativo. Questo tipo di attacchi multi-dominio è progettato per testare la resilienza delle infrastrutture critiche e la prontezza dei riflessi istituzionali, agendo come una forma di pressione politica indiretta.
Inoltre, la crisi evidenzia la necessità di una sovranità digitale marittima. Poiché la sicurezza della navigazione dipende oggi dalla coerenza dei flussi informativi e dall’interconnessione tra sistemi IT, OT e componenti radio, la perdita di controllo su questi asset digitali equivale a una perdita di controllo sul territorio fisico. La dipendenza tecnologica da componenti hardware e software esteri (come il gateway Ivanti citato) introduce vulnerabilità che possono essere sfruttate da attori statali per condurre operazioni di spionaggio o sabotaggio. In questo senso, le conseguenze geopolitiche si estendono alla catena di approvvigionamento tecnologico, rendendo la cybersecurity una componente inscindibile della politica estera e della difesa nazionale.
Infine, l’evento sottolinea l’importanza della cooperazione internazionale e della standardizzazione normativa, come previsto dalla Direttiva NIS2 e dal Cyber Resilience Act. Le conseguenze di un attacco AIS/VTS raramente rimangono confinate entro un singolo confine nazionale; la manipolazione delle rotte in acque italiane ha effetti immediati sulla sicurezza transfrontaliera e sulla gestione dei corridoi marittimi europei. Geopoliticamente, questo impone all’Italia non solo di rafforzare le proprie difese interne, ma di porsi come leader nella creazione di una Common Operating Picture regionale, favorendo lo scambio di informazioni cyber tra gli Stati costieri per prevenire che incidenti isolati si trasformino in crisi sistemiche del commercio globale. La capacità di gestire queste crisi ibride diventa, in ultima analisi, il metro con cui viene misurata l’influenza e la stabilità di una nazione nel moderno ordine mondiale digitale.

Le conseguenze strategiche

L’incidente multi-dominio analizzato rivela che la sicurezza del traffico marittimo non può più essere garantita esclusivamente attraverso fattori nautici tradizionali o regolatori, ma dipende in modo critico dalla qualità e dalla coerenza dei flussi informativi. Dal punto di vista strategico, la principale conseguenza dell’attacco risiede nella dimostrazione che una crisi cyber-marittima genera un’area di ambiguità operativa in cui risulta estremamente difficile distinguere tra semplici malfunzionamenti radio, errori di sistema e azioni ostili intenzionali. Questa incertezza ritarda l’identificazione dell’evento come incidente di sicurezza, paralizzando di fatto la capacità di risposta tempestiva delle autorità. In uno scenario dove la consapevolezza situazionale (situational awareness) è compromessa, la qualità del processo decisionale decade rapidamente, esponendo lo Stato a rischi operativi e politici non calcolati.
La risposta strategica a tale vulnerabilità è individuata nello sviluppo e nell’adozione di una Common Operating Picture (COP) nazionale integrata. La COP non deve essere intesa come un semplice cruscotto tecnologico, ma come il nucleo metodologico che permette di trasformare segnali inizialmente disaggregati — come un’anomalia AIS o un tentativo di intrusione informatica — in una comprensione strutturata dell’incidente. Strategicamente, la COP consente di superare la gestione “a silos” delle infrastrutture critiche, collegando eventi che a prima vista potrebbero apparire indipendenti, come lo sfruttamento di una vulnerabilità cyber in un server VTS e un’interferenza radio VHF in alto mare. Questo approccio integrato è l’unico strumento capace di garantire a tutti gli attori coinvolti, dai tecnici del SOC agli operatori della Guardia Costiera, una visione comune e continuamente aggiornata dell’evento.
Un’altra conseguenza strategica di rilievo riguarda l’urgenza di colmare l’attuale vuoto procedurale. Il lavoro mette in luce come, nonostante l’importanza vitale del dominio marittimo, manchino spesso procedure formalizzate e strategie nazionali specifiche per la gestione di attacchi cyber diretti ai sistemi di monitoraggio del traffico, con particolare riferimento alle tecniche di spoofing e jamming. Strategicamente, l’Italia e gli altri Stati costieri devono evolvere la propria postura di sicurezza passando da una difesa passiva a una capacità di risposta attiva e resiliente, che includa protocolli di failover informativo e l’uso di sensori indipendenti (radar, CCTV, GNSS) come “fonti di verità” alternative in caso di compromissione dei segnali primari.
Inoltre, l’attacco evidenzia la necessità di una coordinazione interistituzionale permanente. La gestione della crisi richiede il coinvolgimento simultaneo di centri VTS, Security Operations Centres (SOC), e autorità nazionali come il CSIRT Italia, operando sotto quadri normativi complessi e stratificati come il Perimetro di Sicurezza Nazionale Cibernetica e la Direttiva NIS2. La capacità di far dialogare questi diversi attori in tempo reale è una componente essenziale della resilienza nazionale. In questa prospettiva, la coordinazione non è un mero adempimento burocratico, ma un elemento funzionale alla difesa degli interessi economici e della continuità dei traffici commerciali, che rappresentano una leva fondamentale del potere strategico nazionale nel Mediterraneo.
Infine, la crisi simulata conferma che la cybersecurity nel dominio marittimo deve essere elevata da ambito tecnico settoriale a componente strutturale della sicurezza nazionale. Strategicamente, ciò implica che ogni investimento nella digitalizzazione della logistica portuale o dello smart shipping deve essere accompagnato da una corrispondente capacità di monitoraggio e risposta alle minacce ibride. Il rafforzamento della resilienza marittima passa dunque attraverso un impegno coordinato che integri tecnologie avanzate di data fusion, formazione specializzata degli operatori e una visione strategica che riconosca nell’integrità dei dati di navigazione un pilastro della sovranità dello Stato.

Le conseguenze marittime

L’impatto più critico di una crisi cibernetica nel dominio marittimo, come quella analizzata nella simulazione, risiede nella minaccia immediata e diretta alla sicurezza della vita umana in mare. La digitalizzazione pervasiva, sebbene volta all’efficienza, ha reso la navigazione dipendente dalla qualità e dalla coerenza dei flussi informativi; pertanto, qualsiasi alterazione di questi dati colpisce i pilastri fondamentali della prevenzione degli incidenti marittimi. La conseguenza primaria di un attacco di spoofing e jamming è la drastica perdita di consapevolezza situazionale (situational awareness) da parte degli operatori costieri e dei comandanti delle unità navali. In contesti marittimi complessi, dove la densità del traffico è elevata, la capacità di discernere la posizione reale, la rotta e la velocità di ogni vascello è l’unico elemento che garantisce la prevenzione di collisioni e incagli.
L’impiego di tecniche di spoofing AIS introduce una pericolosa ambiguità operativa: la creazione di tracce fantasma o la falsificazione della posizione di un’unità critica, come la petroliera descritta nel caso di studio, può indurre le altre imbarcazioni a compiere manovre evasive basate su informazioni errate. Tali manovre, lungi dal garantire la sicurezza, possono paradossalmente condurre a collisioni reali con ostacoli fisici o altre navi che non risultano correttamente rappresentate sui sistemi di bordo. Parallelamente, l’attività di jamming sulle frequenze VHF aggrava la situazione saturando i canali dedicati alla sicurezza (AIS1 e AIS2), impedendo così la ricezione di segnali legittimi e potenzialmente bloccando le comunicazioni di emergenza e i segnali di soccorso in una fase di crisi.
La vulnerabilità intrinseca del protocollo AIS, che manca di meccanismi di autenticazione, rende il sistema un vettore di rischio che espone l’intero ecosistema marittimo a pericoli sistemici. Quando i flussi informativi perdono affidabilità, gli operatori del Vessel Traffic Service (VTS) perdono la loro funzione di supporto alla navigazione, lasciando le navi prive di una supervisione esterna affidabile proprio nel momento di maggiore bisogno. Il rischio di incidenti è ulteriormente amplificato dall’interconnessione tra sistemi IT, OT e sensoristica di bordo, dove un attacco informatico al backend può ritardare l’identificazione di un’emergenza reale, rendendo la risposta delle autorità costiere lenta e inefficace.
Inoltre, la sicurezza della vita umana è strettamente legata alla protezione dell’ambiente marino. Nel caso analizzato di una petroliera, una collisione causata da un’azione di navigation warfarenon solo metterebbe a rischio la vita dell’equipaggio, ma potrebbe innescare un disastro ecologico con ripercussioni sulla salute e sulla sicurezza delle popolazioni costiere. Strategicamente, la salvaguardia della vita in mare richiede che le infrastrutture marittime siano dotate di sistemi di validazione automatica dei dati (correlazione radar-AIS) e di procedure di failover che permettano di operare in sicurezza anche in presenza di segnali radio degradati. L’adozione di una Common Operating Picture (COP) integrata diventa quindi l’unico strumento capace di mitigare questi rischi, trasformando segnali cyber e radio eterogenei in una visione coerente necessaria per proteggere la vita umana contro minacce invisibili ma letali

Le conseguenze per l’Italia

Per l’Italia, la sicurezza delle infrastrutture marittime digitali non rappresenta solo un problema tecnico, ma una questione di sovranità nazionale e stabilità economica di primo ordine. Data la sua posizione geografica centrale nel Mediterraneo, il Paese funge da crocevia strategico per le principali rotte marittime mondiali; di conseguenza, qualsiasi interruzione o manipolazione dei sistemi di monitoraggio del traffico (AIS e VTS) ha ripercussioni immediate e profonde su diversi livelli.
Le conseguenze per l’Italia e la sua economia possono essere così articolate:

• Tutela degli interessi economici e continuità dei traffici: La sicurezza dei sistemi di monitoraggio è considerata una “leva fondamentale” per proteggere gli interessi economici nazionali. Un attacco che comprometta la consapevolezza situazionale (situational awareness) costringe le autorità a rallentare o sospendere le operazioni portuali e il transito nelle acque territoriali per prevenire collisioni o incidenti ambientali, causando ritardi nella catena di approvvigionamento con pesanti perdite finanziarie per il settore logistico e commerciale.
• Credibilità nazionale e sovranità: La capacità di uno Stato di controllare il proprio spazio marittimo è un pilastro della sua credibilità internazionale. Incidenti di navigation warfare condotti da attori stranieri in acque italiane mettono in discussione la capacità delle istituzioni (come la Guardia Costiera e l’Agenzia per la Cybersicurezza Nazionale) di garantire la sicurezza della navigazione, influenzando potenzialmente le rotte scelte dalle compagnie di navigazione globali e i costi assicurativi per i transiti nel Mediterraneo.
• Impatto normativo e obblighi istituzionali: Poiché le infrastrutture marittime critiche rientrano nel Perimetro di Sicurezza Nazionale Cibernetica (PSNC) e sono soggette alla Direttiva NIS2, un incidente di questo tipo attiva obblighi di notifica estremamente stringenti. L’organizzazione colpita deve informare il CSIRT Italia entro un’ora, pena sanzioni e danni reputazionali. La gestione di queste crisi richiede un coordinamento interistituzionale complesso che mette alla prova la resilienza dell’intero “sistema-Paese”.
• Lacune strategiche nazionali: Le fonti evidenziano una critica assenza di procedure formalizzate e di strategie nazionali specifiche per gestire attacchi cyber come lospoofing e il jamming nel dominio marittimo. Questa mancanza di protocolli dedicati rappresenta una vulnerabilità strutturale che potrebbe essere sfruttata in contesti di “grey zone” (zona grigia) per destabilizzare l’Italia senza ricorrere a un conflitto armato aperto.
• Rischi ambientali e costi sociali: Un incidente causato da dati AIS contraffatti che coinvolga navi cisterna o petroliere nelle acque italiane comporterebbe rischi altissimi di disastri ecologici. Oltre al danno ambientale incalcolabile per un Paese che punta sul turismo e sull’economia del mare, i costi di bonifica e il danno alle comunità costiere graverebbero direttamente sulle finanze pubbliche e sull’economia locale.

In sintesi, per l’Italia la cybersecurity marittima è una componente strutturale della sicurezza nazionale. La capacità di integrare segnali eterogenei attraverso strumenti come la Common Operating Picture (COP) è essenziale per garantire che il Mediterraneo resti un corridoio sicuro e redditizio per l’economia italiana

Conclusioni

L’analisi della simulazione condotta dimostra che la cybersecurity marittima è oggi una frontiera critica della sicurezza dello Stato. Le vulnerabilità del sistema AIS e le debolezze informatiche dei backend VTS non sono semplici problemi tecnici, ma punti di accesso per azioni ostili in grado di destabilizzare la sicurezza della navigazione e la sovranità nazionale. Il lavoro mette in evidenza come la risposta debba necessariamente poggiare su una visione integrata (COP), capace di trasformare dati disaggregati in conoscenza operativa.
Le raccomandazioni finali per rafforzare la cybersicurezza nel dominio marittimo, derivanti dall’analisi della crisi simulata e dalle lacune identificate nelle fonti, si articolano su diversi livelli: tecnologico, procedurale, organizzativo e strategico.

Rafforzamento Tecnologico e della Visibilità Operativa

• Implementazione di una Common Operating Picture (COP): È fondamentale adottare una COP nazionale che integri e correli dati eterogenei provenienti dai domini cyber, radio e operativo-marittimo per ridurre l’ambiguità informativa e supportare decisioni tempestive.
• Validazione automatica dei dati AIS: Non è più sufficiente l’osservazione manuale degli operatori; occorre implementare sistemi automatici che verifichino la plausibilità dei messaggi AIS (coerenza tra MMSI, posizione, rotta e velocità) confrontandoli costantemente con le tracce radar costiere.
• Potenziamento del radio-monitoring: È raccomandata l’installazione di sensori dedicati a rilevare pattern di interferenza o saturazioni anomale (jamming) sulle frequenze VHF, integrando tali dati nei sistemi di correlazione come SPx Fusion.
• Evoluzione della Detection: Bisogna aggiornare l’architettura dei sensori e degli alert nel SIEM per riconoscere sequenze correlate di eventi (come accessi VPN anomali o cancellazione di log) riconducibili ad attacchi complessi.
• Eliminazione dei “blind spot” di rete: Occorre estendere il logging e la granularità delle registrazioni, in particolare nei flussi tra VLAN operative e server AIS, integrandoli con sistemi IDS (Intrusion Detection Systems).

Misure Procedurali e Organizzative

• Sviluppo di Strategie Nazionali specifiche: Le fonti evidenziano l’urgenza di colmare l’assenza di procedure formalizzate e strategie nazionali dedicate specificamente alla gestione di attacchi di spoofing e jamming ai sistemi di monitoraggio del traffico marittimo.
• Miglioramento del Patch Management: L’incidente ha dimostrato come la mancata applicazione tempestiva delle patch di sicurezza sia una condizione abilitante critica; pertanto, occorre irrigidire i cicli di manutenzione dei componenti critici del backend.
• Formazione e Training: È necessario potenziare la formazione degli operatori VTS affinché siano in grado di riconoscere tempestivamente le incoerenze tra dati radar e AIS.
• Esercitazioni Cyber-Marittime: Si raccomanda l’istituzione di esercitazioni regolari e attività dipurple teaming (emulazione delle tecniche di attacco in ambienti controllati) per validare le procedure di risposta e rafforzare la preparazione organizzativa.

Dimensione Strategica e Normativa

• Cooperazione Regionale e Transfrontaliera: Data la natura internazionale delle rotte marittime, si suggerisce di estendere la COP a scenari multi-porto e transfrontalieri, favorendo la cooperazione regionale in linea con la Direttiva NIS2.
• Conformità e Coordinamento: La gestione delle crisi deve essere strettamente coordinata con le autorità nazionali (CSIRT Italia, Guardia Costiera) rispettando i rigorosi timeline di notifica previsti dal PSNC, dalla Direttiva NIS2 e dal Cyber Resilience Act (CRA).
• Cybersecurity come Pilastro Nazionale: In conclusione, la cybersicurezza marittima deve essere trattata come una componente strutturale della sicurezza nazionale, richiedendo un impegno sistemico che vada oltre la mera protezione delle infrastrutture IT tradizionali.

---

I CONTRIBUTI SONO DIRETTA RESPONSABILITÀ DEGLI AUTORI E NE RISPECCHIANO LE IDEE PERSONALI. LE FOTO PRESENTI IN QUESTO COMMENTO SONO STATE DI MASSIMA PRESE DAL WEB, CITANDONE SEMPRE LA FONTE. SE QUALCUNO DOVESSE RITENERE NECESSARIO RIMUOVERLE O MODIFICARNE GLI AUTORI, PUÒ CONTATTARCI SUL SITO CESMAR.IT E SARÀ PRONTAMENTE ACCONTENTATO. LA RIPRODUZIONE, TOTALE O PARZIALE, È AUTORIZZATA A CONDIZIONE DI CITARE LA FONTE.