Seguridad en el cielo: cómo las aerolíneas se acercan a la seguridad en tiempos turbulentos

Aviones en tierra, rutas canceladas y ganancias estancadas. Esa es la realidad que enfrentan muchas, si no todas, las operaciones de las aerolíneas a nivel mundial en la actualidad. Pero, en un momento en que los presupuestos son ajustados, las aerolíneas aún se ven obligadas a proteger sus sistemas y datos, incluidos aquellos que no están directamente relacionados con sus sistemas de aviónica.

Las aerolíneas son vistas como objetivos simbólicos para los actores del Estado-nación debido a la amplia gama de países anfitriones de los que se originan y la identidad nacional que representan. Pero el panorama de amenazas se ha ampliado recientemente para incluir tanto a los ciberdelincuentes motivados financieramente que persiguen los datos de los clientes como a los sindicatos que intentan el ciberespionaje para atacar los secretos comerciales de las aerolíneas. El hecho es que, si bien es posible que los aviones no estén en el aire en este momento, las aerolíneas continúan recopilando y conservando datos confidenciales, incluida información de tarjetas de crédito, datos del pasaporte, datos del programa de viajeros frecuentes e incluso información de reservas de alojamiento.

Las aerolíneas son conscientes de la información personal que poseen, y también lo son los hackers, con la esperanza de sacar dinero con datos confidenciales. Solo en Europa, las recientes infracciones de alto perfil (algunas de las cuales se han informado en ZDNet y Forbes) han afectado a más de 400.000 personas y las multas impuestas han alcanzado los cientos de millones de dólares. En Australia y otros países, se reportan ataques diarios a aeropuertos y evaluaciones de la seguridad de las aplicaciones de los 100 aeropuertos más importantes del mundo han identificado áreas de mejora. En el primer semestre de 2019, por ejemplo, hubo 30 ataques reportados públicamente en aeropuertos, y vemos que esa tendencia continúa hoy.

Los viajeros, y aquellos que continúan comprando a través de tarjetas de crédito vinculadas al programa de fidelización de aerolíneas, están confiando a las aerolíneas su información. Si se filtra información confidencial, es casi imposible recuperar la confianza de los clientes.

El desafío que nos ocupa se ve agravado por lo que la Organización de Aviación Civil Internacional (OACI) llamó el 'sistema de sistemas', citando cómo los sistemas altamente interconectados aumentan significativamente el riesgo de amenazas a la seguridad. La industria de la aviación depende de arquitecturas distribuidas para la prestación de servicios eficientes, incluidas redes distribuidas y funciones físicas y ciberespaciales interdependientes. Un conjunto de sistemas que no sólo está altamente interconectado, sino que cuenta con múltiples OEMs y aerolíneas asociadas que acceden a la red en un momento dado, lo que mejora aún más el perfil de riesgo.

Entonces, en un momento en que los insaldos de la industria como Qantas ha puesto a tierra el 90% de los aviones y Virgin Australia pasó a la administración, cómo invierten aquellos que buscan salir de los tiempos difíciles en la protección de sistemas y datos críticos para evitar acciones punitivas por parte del RGPD y PCI/PII reguladores y minimizan el riesgo de ransomware y otros ataques de malware?

En la inmediatez, sería lógico considerar tres pasos centrales para maximizar la economía y el impacto.

1. Priorizar los problemas y defenderlos en profundidad aislando activos críticos

Ransomware y el malware están en aumento y tienen éxito en gran medida debido a su capacidad para replicarse en entornos más rápido de lo que pueden reaccionar las herramientas y protocolos de detect/responder. La microsegmentación de contención y privilegios mínimos es particularmente relevante para las industrias con sistemas interconectados en constante expansión como la aviación y sus programas de fidelización y compras derivadas. Para algunos, esta será la principal prioridad, mientras que otros pueden buscar mejorar los métodos de parcheo, asegurar los dispositivos de los trabajadores remotos u obtener visibilidad de las aplicaciones y dónde se utilizan y almacenan los datos. Parte de esta priorización no es sólo qué, pero el donde. El hecho de que una aplicación crítica necesite atención no significa que el control de seguridad requerido deba diseñarse adecuadamente o tener la capacidad de atender a todo el entorno de TI. Más bien, el mejor enfoque es comenzar pequeño y específico, donde tendrá el mayor impacto, ya sea seleccionado PCI cargas de trabajo bajo regulación, aplicaciones ERP críticas o cargas de trabajo que ejecutan programas de lealtad con PII.

2. Maximizar el multiplicador

Los profesionales de seguridad deben analizar los ecosistemas de los proveedores para cerrar las brechas, pero también emparejarlos con lo que ya está implementado en sus propias instalaciones de TI para obtener el mayor valor. Estas alianzas pueden ampliar drásticamente el alcance y la capacidad y garantizar que los cambios futuros en la infraestructura no estén limitados por la capacidad de seguimiento de la seguridad. Esto ampliará de manera efectiva tanto las capacidades actuales como el valor de por vida de una solución en general. La búsqueda de cosas como aplicaciones en los mercados de soluciones de asociación y una API REST en uso por parte de proveedores potenciales es un buen indicador de la capacidad de crear y continuar expandiendo alianzas para ayudar a TI a maximizar el multiplicador.

3. Considerar la operacionalización

Los equipos de seguridad generalmente se estiran en los buenos tiempos, ahora es más importante que nunca considerar la sobrecarga operativa de cualquier nueva tecnología que se esté implementando. La interrupción de las operaciones puede ser menos impactante si las personas y los aviones no vuelan todas las rutas habituales con la frecuencia habitual. Sin embargo, la absorción de tecnología puede ser un elemento pasado por alto o subvalorado en cualquier nueva solución. Con equipos distribuidos y trabajando de forma remota, y algunas empresas con personal reducido, el viaje de implementación desde el contrato hasta BAU es fundamental para el éxito y el tiempo de obtención de valor de cualquier inversión realizada.

En última instancia, al ser estratégicas en la asignación de prioridades de seguridad tanto al qué como al dónde, teniendo en cuenta cualquier costo oculto involucrado (es decir, los gastos de servicios profesionales relacionados con la implementación, que pueden agregar sumas significativas, y los costos operativos diarios continuos), las aerolíneas pueden gastar menos dólares y, al mismo tiempo, abordar los aspectos más críticos de la seguridad de su negocio.

Veremos futuras brechas, sí, pero con este enfoque los daños pueden ser contenidos por lo que las aerolíneas vivirán para volar otro día.

Para obtener más información sobre cómo Illumio está ayudando a una aerolínea, Cathay Pacific, a proteger sus joyas de la corona durante este tiempo, consulte este estudio de caso.