Tillit är allt för flygindustrin. Och en framgångsrik cyberattack, även om det skulle röra sig om ett mindre intrång mot exempelvis underhållningssystemet ombord, kan underminera den trovärdighet och tillit som flygbolag och andra aktörer i branschen byggt upp under lång tid. Det är bakgrunden till att cybersäkerhetsföretaget F-Secure nu lanserar Aviation Cyber Security Services, cybersäkerhetstjänster för att hjälpa flygbolag och andra branschaktörer att skydda sina flygplan, sin infrastruktur och i förlängningen sina rykten och det förtroende de byggt upp.
Cybersäkerhet har alltmer utvecklats till att bli en nyckelfråga för många branscher, från finansiella institutioner till tillverkningsindustrin – och flygbranschen är inget undantag. En PWC-undersökning visar att 85 procent av flygbolags-vd:ar nämner cybersäkerhet som en tydlig riskfaktor*. Många branscher har tvingats hantera dataintrång och cyberattacker under många år, men enligt F-Secures Hugo Teso finns det flera faktorer bakom att flygbolag och andra i branschen nu kommer att ställas inför nya typer av risker.
Teckna din prenumeration på Aktuell Säkerhet här
– Standardiserade och icke-proprietära kommunikationslösningar blir allt vanligare i flygplanen, vilket innebär att säkerhetsfrågan blir betydligt mera komplicerad än den varit. Dessa kommunikationsprotokoll och lösningar skapades inte för att möta de rigorösa säkerhetskrav som flygbolag och flygplanstillverkare ställer, vilket innebär att branschen som helhet gjort cybersäkerhet till ett högprioriterat område. Men de behöver en partner som förstår både cybersäkerhet och hur flygindustrin fungerar – och det är en bransch där det är detaljer som kan göra stor skillnad, säger Hugo Teso, tidigare pilot och numera ansvarig för Aviation Cyber Security Services på F-Secure.
F-Secures Aviation Cyber Security Services har tagits fram för att hjälpa flygbolag och andra aktörer i branschen att säkra sin verksamhet, från grunden och uppåt. Det innefattar bland annat säkerhetsanalyser av flygelektronik, marksystem och datalänkar, sårbarhetsanalys, säkerhetsmonitorering, incidentupptäckt och respons samt skräddarsydd cybersäkerhetsutbildning av såväl IT-chefer som kabinpersonal och piloter – allt samlat i en smidig tjänst som hjälper flygbolag att säkra sin verksamhet ytterligare mot cyberattacker.
Säkerhetsanalyser spelar en särskilt viktig roll här eftersom de gör det möjligt att upptäcka och flagga för potentiella risker innan flygbolag och tillverkare skickar in sina produkter eller tjänster för certifiering. De är ett flexibelt verktyg som går att avgränsa för att fokusera på individuella komponenter som enskild hårdvara och mjukvara, eller använda för att analysera sådant som hur olika system interagerar med varandra i ett större system.
Andrea Barisani, ansvarig för Hardware Security på F-Secure, leder ett team med närmare tio års erfarenhet av att utföra den här typen av säkerhetsanalyser på flygelektronik och större system åt flygplanstillverkare. Han fokuserar på att utforma och verifiera data-dioder – en försvarsmekanism som begränsar hur de olika systemen på ett flygplan kan kommunicera med varandra.
– En nyckelfråga är hur man skyddar säkerhetskritiska system i händelse av att det inträffar en incident i andra system, som kanske är mer utsatta men inte lika viktiga för flygplanets funktion. Bland det viktigaste är att separera de olika systemen i olika ’tillitsdomäner’ och sedan kontrollera hur system i olika domäner kan interagera med varandra. Det förhindrar att en händelse i en domän, till exempel i Wi-Fi-tjänsten som passagerarna kan använda, påverkar säkerhetskritiska system som flygplanets styrsystem eller datalänkarna mellan flygplan och kontrolltornet på marken, säger Andrea Barisani.
Men säkerhetsanalysen är inte begränsad till att bara skärskåda olika teknologier och komponenter. Enligt Hugo Teso är målsättningen med F-Secures erbjudande att hjälpa flygbolag att uppnå långsiktig säkerhet för hela verksamheten och samtliga system.
– Tillit är allt i den här branschen, och flygbolag vet att om de tappar den så tappar de gentemot konkurrenterna. Även om cybersäkerhet är en relativ nykomling på deras radar så förstår de att de behöver vara proaktiva och behålla sitt försprång i takt med att teknologin, verksamheten och hotbilden utvecklas. Kopplingen mellan datasäkerhet och flygsäkerhet är uppenbar för alla flygbolag. Därför betraktas även varje angrepp som inte direkt påverkar flygplanen – exempelvis att hacka en databas för att stjäla passagerarinformation – som en oacceptabel risk, inte minst för att den hotar att undergräva förtroendet för övriga delar av verksamheten, säger Hugo Teso.
