El hombre siempre ha deseado trascender los límites preconcebidos. Los hermanos Wright hicieron del cielo el límite... hasta que Neil Armstrong dio un gran paso para la humanidad al pisar la superficie lunar.

Ninguno de estos avances habría sido posible sin el ingenio de los inventores, científicos e ingenieros, ni sin la valentía de los pilotos de pruebas. En los últimos años, los desarrolladores de software se han convertido en un nuevo tipo de ases de la aviación, ayudando a toda una industria centrada en superar barreras, tanto Físicas y técnicas. Pero hoy, la atención se centra cada vez más en afrontar dificultades más allá del cielo: en el ciberespacio.

Puntos clave de este artículo:

• El rápido progreso de la aviación y la industria aeroespacial a lo largo del siglo XX ^ha creado una industria que necesita seguridad y vigilancia constantes.
• Además de las amenazas físicas y los desafíos económicos y de ingeniería, la industria enfrenta el peligro de actores cibernéticos maliciosos, incluidos grupos APT que buscan comprometer a las empresas de aviación y aeroespaciales para su propio beneficio.
• Prevenir el robo de datos de propiedad intelectual y diseños costosos, bloquear el sabotaje selectivo a los sistemas de vuelo y proteger operaciones aeroportuarias críticas son solo algunos de los muchos objetivos de una industria con una fuerte superposición entre lo militar y lo civil.
• La seguridad digital debe estar a la altura del alcance y los desafíos de la industria de la aviación, con soluciones y procesos patentados desarrollados para proteger cada sistema, instalación y sus operadores.

Un panorama de amenazas tormentosas

El siglo XX fue testigo del desarrollo de la aviación, que pasó de ser un pasatiempo a una industria que innovaba a un ritmo vertiginoso. De hecho, se tardó poco más de una década en pasar del primer avión a motor (1903) a los primeros combates aéreos en aviones de guerra de producción en masa (1914), y tan solo 66 años en llevar al hombre a la Luna (1969).

Durante ese tiempo, el crecimiento de la industria abarcó todo, desde la fabricación de aeronaves y la logística de componentes hasta convertirse en un gigante del transporte con el necesario marco regulatorio y organismos reguladores. Si a esto le sumamos la operación de aeropuertos y aerolíneas, podemos comprender rápidamente la magnitud del último avance de la industria: descubrir cómo navegar por la dimensión digital y satisfacer la creciente necesidad de ciberseguridad.

De los barones rojos a los osos elegantes

Aunque Manfred von Richthofen, también conocido como el "Barón Rojo", es recordado por su metódica búsqueda en los cielos durante la Primera Guerra Mundial, convirtiéndose en una leyenda de habilidad y competencia, el daño que podía infligir se limitaba a una sola batalla a la vez. Las amenazas digitales en la aviación no tienen las mismas limitaciones.

Estas amenazas son globales, y el sector de la aviación es un objetivo prioritario. El valor del sector para los actores maliciosos se debe a su tamaño, su papel en la defensa estratégica y la economía, y la interconexión de sus cadenas de suministro y tecnologías (incluidas las digitales). Estos elementos han atraído a grupos de amenazas persistentes avanzadas (APT) y a delincuentes por igual, como MirrorFace, Lazarus y Sednit (también conocidos como fancy bear), que utilizan sofisticadas técnicas de ataque para sabotear, espiar o robar a entidades de la aviación. Desde fabricantes de aeronaves hasta aerolíneas y aeropuertos, cualquier negocio relacionado con la aviación puede ser un objetivo.

Los datos tienen potencial. La naturaleza global y multifacética del sector de la aviación obliga al intercambio de datos entre las partes interesadas y los clientes. Por un lado, esto permite una gran eficiencia, pero también expone a las entidades de aviación a factores externos potencialmente maliciosos.

Los hacktivistas también se han aficionado a causar problemas relacionados con la aviación, hackeando aeropuertos o sus sitios web por motivos ideológicos. Cualquiera que sea la motivación de un atacante, el resultado de tales interrupciones puede incluir vulnerabilidades adicionales del sistema, vuelos retrasados o cancelados, exposición de datos confidenciales o, peor aún, incluso accidentes de tráfico aéreo.

Los más buscados de la aviación

Hay mucho en juego, pero ¿qué es lo que más desean los actores de amenazas en el ámbito de la aviación? Consideremos lo que abarca dicha industria:

• I+D y propiedad intelectual costosas: La punta de lanza en la industria aeroespacial es el desarrollo y la ingeniería de aviones modernos, tecnología e instalaciones relacionadas. Estos esfuerzos crean un mercado de miles de millones de dólares. Los fabricantes de aviones, que han invertido un capital significativo en investigación y desarrollo, obviamente no quieren que sus costosos diseños circulen por el ciberespacio, pero los actores de amenazas están dispuestos a hacer grandes esfuerzos para robar y vender dicha propiedad intelectual en el mercado negro.
• Logística y sistemas conectados: Las aeronaves forman parte de cadenas de suministro globales complejas e interdependientes, que transportan personas y mercancías por todo el mundo. Saber cuándo un envío o avión en particular aterrizará o qué ruta de vuelo seguirá puede facilitar operaciones clandestinas fuera del ciberespacio.
• Personas: Un delincuente puede realizar muchas maniobras turbias con el acceso a los datos personales; de hecho, es un factor crucial en la ingeniería social y el robo de identidad. Imaginen lo que un malhechor podría hacer con la identidad robada de un controlador aéreo o un piloto...
• Aerotransportado: Otra razón por la que el sector de la aviación y aeroespacial se encuentra entre industrias críticas es su profunda conexión con lo militar, un área en el que a menudo se puede ubicar la forma más alta de expresión innovadora.

La convergencia de la aviación y el sector aeroespacial abarca desde aviones de combate y drones de vigilancia hasta aviones de transporte, vehículos aéreos no tripulados (UAV), cohetes y misiles. Esto consolida al sector como un componente esencial en la proyección de poder de los estados-nación. Por ello, se considera un componente crítico de la seguridad nacional.

Por esta razón, cualquier interrupción, ya sea por ciberataques, vulnerabilidades en la cadena de suministro o tensiones geopolíticas, puede afectar directamente las capacidades de defensa y las contribuciones económicas de una nación, lo que hace que la protección y la resiliencia de la infraestructura de la aviación sean una prioridad estratégica.

¿Cómo aumentar la resiliencia en la aviación y el sector aeroespacial?

Con la gran cantidad de datos, diseños, sistemas, hardware y personal que proteger, ¿cómo puede el sector de la aviación garantizar un espacio aéreo libre de accidentes? Normas gubernamentales como el Reglamento de Ejecución (UE) 2023/23 (incluidas las disposiciones de la Parte IS para la identificación y gestión de riesgos de seguridad de la información), el Reglamento Delegado (UE) 2022/1645 o el NIS2 marcan el camino, detallando las bases para garantizar la ciberresiliencia continua en la aviación.

Algunas de las características de seguridad requeridas por estas regulaciones implican el establecimiento de estrategias holísticas de evaluación, gestión y mitigación de riesgos para cualquier sistema de TIC o tecnología operativa (OT) en uso bajo el nombre de "Sistema de Gestión de Seguridad de la Información" (SGSI), con énfasis en la respuesta rápida y el informe adecuado de las amenazas.

La Parte IS insta a las organizaciones de aviación, incluyendo operadores aéreos, organizaciones de diseño, proveedores de servicios de navegación aérea y más, a implementar medidas de SGSI. El enfoque se centra en la integridad de los datos en múltiples sistemas, deteniendo así los ciberataques que podrían tener un impacto significativo en los sistemas de aviación, como las interrupciones del servicio causadas por ataques de ransomware.

Prevención de turbulencias

Siendo francos, la mayoría de las medidas de seguridad exigidas por regulaciones como la Parte IS no son ideas extrañas ni de otro mundo. Son enfoques preventivos estándar en ciberseguridad:

• Controles de acceso: La seguridad de confianza cero sigue siendo un enfoque clave para prevenir el abuso del acceso a sistemas y datos sensibles.
• Evaluaciones de riesgos: la gestión de vulnerabilidades , como siempre, debe ser una prioridad máxima para cualquier organización que ejecute múltiples sistemas y aplicaciones.
• Protección de puntos finales: la seguridad de los puntos finales es un principio básico de la postura de defensa empresarial.
• Detección y respuesta: para llevar la seguridad de los puntos finales y de la red al siguiente nivel, la detección y respuesta avanzadas mediante el uso de herramientas que habilitan EDR o XDR pueden detener amenazas sofisticadas antes de que provoquen incidentes a gran escala.
• Protección de datos: Casi todas las regulaciones de ciberseguridad tienen una forma de protección de datos como parte de sus requisitos, como el cifrado, una opción simple pero poderosa para mantener la integridad de los datos.
• Capacitación en concientización: El error humano es un factor clave que facilita las brechas de seguridad, y la concientización humana es crucial para detenerlas. Por ello, capacitar a los empleados en las mejores prácticas es clave para prevenir fallas de seguridad , como las derivadas de la ingeniería social.

Sin embargo, cuando hay sistemas extremadamente críticos involucrados, las medidas regulares de ciberseguridad podrían no ser suficientes.

Las soluciones adecuadas para la aviación

Independientemente del sector en el que se encuentre una empresa, los requisitos cada vez más rigurosos exigen enfoques adaptados al entorno específico de la organización. Instalaciones críticas de fabricación de aviación, centros de I+D, propiedad intelectual valiosa y miles de vidas humanas dependen a diario de una protección que, a falta de una mejor expresión, simplemente no puede fallar.

Para ello, ESET ofrece paquetes y servicios de seguridad escalables para las empresas y proveedores de servicios de estas complejas organizaciones. Mediante una metodología que prioriza la prevención, ESET ofrece tecnologías de gran relevancia para limitar la vectorización de la seguridad en toda la cadena de suministro. Los vectores de ataque suelen manifestarse como ataques de phishing, amenazas a la seguridad en la nube, ransomware y amenazas persistentes avanzadas de actores maliciosos.

Para impulsar aún más el potencial de seguridad incluso de las organizaciones más complejas, la división de Soluciones Corporativas de ESET también trabaja para respaldar implementaciones de seguridad personalizadas, diseñadas específicamente para sectores sensibles.

Para completar, ESET ofrece implementaciones estándar y personalizadas que se adaptan a las necesidades incluso de las empresas más sensibles. Estas pueden abarcar desde suites de seguridad para endpoints estándar y modificadas hasta soluciones diseñadas en colaboración con diversos socios tecnológicos, así como soluciones integradas que integran la tecnología esencial de ESET y su profunda experiencia en investigación en entornos controlados por terceros, alineando completamente la seguridad con la visión y las funciones que requiere el socio.

Además, también disponemos de servicios profesionales de ciberseguridad que brindan asesoramiento estratégico y evaluación de riesgos para colocar a nuestros socios por delante de las amenazas que los pondrían en peligro. 

Otro aterrizaje feliz

En conclusión, las industrias de la aviación y aeroespacial permanecerán en la mira de los actores de ciberamenazas. Su profunda interconexión y superposición con la seguridad militar y civil, la prosperidad económica y la seguridad nacional significan que el sector no tiene margen de error. Ya sea estableciendo una ciberseguridad que priorice la prevención para crear una red de seguridad instantánea o desarrollando un enfoque más delicado e individualizado con soluciones integradas a medida, ESET se complace en apoyar a estas industrias con el máximo cuidado. 

 

Fuente del artículo:
ESET Blog

Autor: Mark Szabo
Editor: James Shepperd