La sécurité dans le ciel : comment les compagnies aériennes abordent la sécurité en période de turbulences

Des avions immobilisés, des liaisons annulées et des profits au point mort. C'est la réalité à laquelle sont confrontées de nombreuses compagnies aériennes, sinon toutes, dans le monde aujourd'hui. Mais à une époque où les budgets sont serrés, les compagnies aériennes sont toujours obligées de protéger leurs systèmes et leurs données, y compris ceux qui ne sont pas directement liés à leurs systèmes avioniques.

Les compagnies aériennes sont considérées comme des cibles symboliques pour les acteurs des États-nations en raison du large éventail de pays hôtes dont elles sont originaires et de l'identité nationale qu'elles représentent. Mais le paysage des menaces s'est récemment élargi pour inclure à la fois des cybercriminels motivés par des raisons financières qui recherchent les données des clients et des syndicats qui tentent de faire du cyberespionnage pour cibler les secrets commerciaux des compagnies aériennes. Il n'en demeure pas moins que même si les avions ne sont pas en vol pour le moment, les compagnies aériennes continuent de collecter et de conserver des données sensibles, notamment les informations relatives aux cartes de crédit, les détails des passeports, les données des programmes de fidélisation et même les informations relatives aux réservations d'hébergement.

Les compagnies aériennes sont conscientes des informations personnelles qu'elles possèdent, tout comme les pirates informatiques, qui espèrent tirer profit de données sensibles. Rien qu'en Europe, de récentes violations très médiatisées (dont certaines ont été signalées dans Réseau ZD et Forbes) ont touché plus de 400 000 personnes et les amendes infligées ont atteint des centaines de millions de dollars. En Australie et dans d'autres pays, des attaques quotidiennes contre des aéroports sont signalées et évaluations de la sécurité des applications des 100 meilleurs aéroports du monde ont identifié des domaines à améliorer. Au premier semestre de 2019, par exemple, il y a eu 30 attaques signalées publiquement contre des aéroports, et nous constatons que cette tendance se poursuit aujourd'hui.

Les voyageurs et ceux qui continuent de faire leurs achats par le biais de cartes de crédit liées à des programmes de fidélité des compagnies aériennes confient leurs informations aux compagnies aériennes. Si des informations sensibles sont divulguées, il est presque impossible de regagner la confiance des clients.

Le défi à relever est aggravé par ce que l'Organisation de l'aviation civile internationale (OACI) a appelé le « système de systèmes », évoquant le fait que les systèmes hautement interconnectés augmentent considérablement le risque de menaces à la sécurité. L'industrie aéronautique dépend de architectures distribuées pour la fourniture de services efficaces, y compris des réseaux distribués et des fonctions physiques et cyberspatiales interdépendantes. Ensemble de systèmes qui est non seulement hautement interconnecté, mais qui permet à plusieurs OEM et compagnies aériennes partenaires d'accéder au réseau à tout moment, ce qui renforce encore le profil de risque.

Ainsi, à une époque où des piliers de l'industrie tels que Qantas a immobilisé 90 % de ses avions et Virgin Australia est passée à l'administration, comment ceux qui cherchent à surmonter cette période difficile investissent-ils dans la protection des systèmes et des données critiques afin d'éviter des mesures punitives de la part du RGPD et du PCI/PII régulateurs et minimiser le risque de rançongiciels et autres attaques de logiciels malveillants ?

Dans l'immédiat, il serait logique d'envisager trois étapes fondamentales pour maximiser l'économie et l'impact.

1. Priorisez les problèmes et défendez-vous en profondeur en isolant les actifs critiques

Un ransomware et les malwares sont en augmentation et connaissent un grand succès grâce à leur capacité à se répliquer dans différents environnements plus rapidement que ne peuvent réagir les outils et protocoles de détection/réponse. La microsegmentation du confinement et du moindre privilège est particulièrement pertinente pour les secteurs industriels dotés de systèmes interconnectés en constante expansion, tels que l'aviation et ses programmes de fidélité et d'achat dérivés. Pour certains, ce sera la principale priorité, tandis que d'autres chercheront peut-être à améliorer les méthodes d'application des correctifs, à sécuriser les appareils des télétravailleurs ou à améliorer la visibilité des applications et de l'endroit où les données sont utilisées et stockées. Une partie de cette priorisation ne se limite pas à que, mais le où. Ce n'est pas parce qu'une application critique a besoin d'attention que le contrôle de sécurité requis doit être conçu de manière appropriée ou avoir la capacité de répondre à l'ensemble du parc informatique. La meilleure approche consiste plutôt à commencer modestement et de manière ciblée, là où vous aurez le plus d'impact, qu'il s'agisse de sélectionner PCI les charges de travail réglementées, les applications ERP critiques ou les charges de travail exécutant des programmes de fidélité avec des informations personnelles.

2. Maximisez le multiplicateur

Les professionnels de la sécurité doivent examiner les écosystèmes des fournisseurs pour combler les lacunes, mais également les associer à ce qui est déjà déployé dans leurs propres parcs informatiques pour en tirer le meilleur parti. Ces alliances peuvent considérablement étendre la portée et les capacités et garantir que les futurs changements d'infrastructure ne soient pas limités par la capacité de suivi de la sécurité. Cela permettra d'étendre efficacement à la fois les capacités actuelles et la durée de vie globale d'une solution. La recherche d'applications sur les places de marché de solutions partenaires et d'une API REST utilisée par des fournisseurs potentiels est un bon indicateur de la capacité à créer et à développer des alliances pour aider le service informatique à maximiser le multiplicateur.

3. Envisagez l'opérationnalisation

Les équipes de sécurité sont généralement sollicitées en période de crise. Il est aujourd'hui plus important que jamais de prendre en compte les frais opérationnels liés à la mise en œuvre de toute nouvelle technologie. Les perturbations des opérations peuvent avoir moins d'impact si les passagers et les avions n'empruntent pas tous les itinéraires habituels à la fréquence habituelle. Cependant, l'absorption de la technologie peut être un élément négligé ou sous-estimé dans toute nouvelle solution. Les équipes étant réparties et travaillant à distance, et certaines entreprises ayant des effectifs réduits, le processus de déploiement du contrat au BAU est essentiel au succès et au délai de rentabilisation de tout investissement réalisé.

En fin de compte, en faisant preuve de stratégie en attribuant des priorités de sécurité à la fois au « quoi » et au « où », en tenant compte des coûts cachés impliqués (c'est-à-dire les dépenses liées aux services professionnels liés au déploiement, qui peuvent représenter des sommes importantes, et les coûts opérationnels quotidiens permanents), les compagnies aériennes peuvent dépenser moins de dollars tout en continuant à s'occuper des aspects les plus critiques de leur sécurité commerciale.

Allons-nous assister à de futures violations, oui, mais grâce à cette approche, les dommages peuvent être maîtrisés afin que les compagnies aériennes puissent vivre assez longtemps pour voler un jour de plus.

Pour plus d'informations sur la manière dont Illumio aide une compagnie aérienne, Cathay Pacific, à protéger ses joyaux de la couronne pendant cette période, consultez ce étude de cas.