研究背景
港口在国际贸易、区域和国内经济活动以及社会福祉中发挥着至关重要的作用。随着数字技术的应用，港口已从传统的物理基础设施转变为数字系统，港口当局、码头运营商、航运公司、物流提供商和海关等利益相关者通过共享的数字平台日益紧密地联系在一起。这种互联互通提高了港口的效率和透明度，但也意味着一个环节的故障可能会波及整个生态系统。因此，港口网络安全是一个集体责任，整个生态系统的强度取决于其最薄弱的环节。
研究方法
本报告采用混合方法，结合了桌面研究、全球调查和专家访谈，对全球港口的网络安全状况进行了全面评估，并提出了将网络安全纳入港口数字化和现代化工作的建议。报告特别关注低收入和中等收入国家港口面临的挑战。
研究发现
政策
- 全球治理：目前尚无全球统一的港口网络安全框架。国际海事组织（IMO）和国际船舶和港口设施安全（ISPS）规则为港口网络安全提供了基础，但它们对网络安全的处理仍然有限。
- 国家层面的治理：大约一半的国家制定了适用于关键基础设施的网络安全立法，但港口利益相关者在高收入国家中很少报告完全遵守现有框架。
- 地方和组织层面的治理：网络安全政策在港口治理中的嵌入程度参差不齐，正式的网络安全政策仅占受访者的64%。不同港口的治理模式（如公共服务、工具、房东和完全私人模式）会影响网络安全的责任分配和协调难度。
实践
- 风险评估：高收入国家港口进行网络安全风险评估的频率远高于低收入和中等收入国家港口。
- 漏洞扫描：高收入国家港口进行漏洞扫描的频率也远高于低收入和中等收入国家港口。
- 事件响应和业务连续性计划：高收入国家港口更倾向于将网络安全纳入业务连续性计划，并更频繁地进行事件响应演练。
障碍
- 人力资本障碍：港口普遍缺乏网络安全专业人才，尤其是在低收入和中等收入国家。员工网络安全意识普遍不足，培训投资不均衡。
- 财务障碍：网络安全投资难以向领导层证明，因为它可以预防损失而不是创造收入。
- 经济障碍：港口网络安全责任不明确，信息差距和搭便车行为削弱了投资激励。
研究结论
- 港口网络安全是一个发展挑战，需要政府、港口当局、运营商和其他利益相关者的共同努力。
- 建议制定技术中立的网络安全框架，明确责任分配，加强强制性事件报告，并建立网络安全指导委员会。
- 建议港口进行资产清点和风险评估，实施风险缓解措施，制定业务连续性计划，并定期进行演练。
- 建议加强对员工的网络安全培训和意识培养，将网络安全风险转化为财务术语，并建立信息共享生态系统。
研究建议
- 政策层面：加强全球海事框架与港口网络安全需求的衔接，建立和执行清晰的港口网络安全治理框架，加强强制性事件报告框架，加强港口社区内部的内部网络安全监督。
- 实践层面：进行资产清点，定期进行风险评估，实施实际的风险缓解措施，制定业务连续性计划，定期测试业务连续性计划，利用人工智能等先进技术增强弹性，并评估新兴技术的网络安全风险。
- 障碍层面：实施定期的、基于角色的员工网络安全意识培训，投资专业培训和职业发展，通过行为指标衡量培训效果，将网络安全风险转化为财务术语并建立投资商业案例，调整经济激励措施以改善网络安全，建立分层的网络安全信息共享生态系统。
