Kyberhyökkäysten torjuminen lentoliikenteessä

Lentokokemuksen tekeminen turvalliseksi edellyttää monien organisaatioiden yhteistyötä maassa ja ilmassa

Alkuperäinen teksti: Morand Fachot, IEC e-tech 06/2018
Lyhennelmän artikkelista laati: Jukka Alve, SESKO

Yksityishenkilöt, organisoidut rikolliset ja valtioiden tukemat erilaiset yksiköt tekevät kyberhyökkäyksiä. Koska tekijät ja niiden tavoitteet ovat monenlaisia, vaikeuttaa se hyökkäysten tunnistamista ja syyllisten saamista selville. Hyökkääjien vihamieliset tavoitteet voivat olla erillisiä tai päällekkäisiä. Vihamieliseen toimintaan voi kuulua esimerkiksi kiristys, petos, vahingonteko yritysten liiketoiminnalle tai maineelle taikka valtioiden infrastruktuurien häirintä tai sulkeminen.

Yhteistyötä ja tiedonvaihtoa kansainvälisissä lentoalanjärjestöissä:
IATAInternational Air Transport Association, perustettu 1945, lentoyhtiöiden maailmanlaajuinen toimialajärjestö
ICAOInternational Civil Aviation Organization, perustettu 1944, Yhdistyneiden kansakuntien perustama virasto
SITASociété Internationale de Télécommunications Aéronautiques, perustettu 1949, ilmailun tietotekniikka- ja tietoliikennepalveluiden tarjoaja. 400 jäsentä, joihin kuuluu lentoyhtiöitä, lentokenttiä, ilmailu- ja avaruusalan yrityksiä, lennonjohtojärjestöjä, lentorahtiyrityksiä, valtionhallintoja ja kansainvälisiä järjestöjä ynnä muita.
ACIAirports Council International, perustettu vuonna 1991, maailmanlaajuinen lentokenttäviranomaisten järjestö
EASAEuroopan lentoturvallisuusjärjestö European Aviation Safety Agency allekirjoitti yhteistyösopimuksen EU:n tietoturvayksikön CERT-EU (Computer Emergency Response Team) kanssa helmikuussa 2017 eurooppalaisen lentoliikenteen kyberturvallisuuskeskuksen European Centre for Cyber Security in Aviation (ECCSA) perustamiseksi.

Kansainväliset standardit ovat keskeisessä asemassa lentoturvallisuudessa

Maailmanlaajuiset lentoalan toimialajärjestöt, kuten IATA, ICAO, SITA, ACI ja EASA painottavat kansainvälisten standardien merkitystä lentoliikenteen suojaamisessa kyberhyökkäyksiltä. Tästä syystä ne viittaavat jatkuvasti standardiin ISO/IEC 27001:2013 sekä myös muihin ISO/IEC 27000 -sarjan standardeihin, jotka on kehittänyt ISOn ja IEC:n yhteinen tietotekniikkakomitea. Lisäksi teollisuusprosessien mittausta, ohjausta ja automaatiota varten kehitetyssä IEC 62443 -standardisarjassa määritellään menettelyt tietoturvallisten teollisuusautomaatio- ja ohjausjärjestelmien toteuttamista varten, ja sitä pidetään myös olennaisen tärkeänä kyberuhilta suojautumisen kannalta.  

Ilmailuteollisuuden sidosryhmät pitävät myös Yhdysvaltojen kansallisen standardointi- ja teknologiainstituutin National Institute of Standards and Technology (NIST) julkaisua Cyber Security Framework for Improving Critical Infrastructure elintärkeänä kyberturvallisuuden kannalta. Tähän viitekehykseen sisältyy ohjeita kyberuhkien tunnistamiseen ja niiltä suojautumiseen sekä niihin reagointiin ja niistä toipumiseen. Nämä tarjoavat korkean tason strategisen näkemyksen organisaation kyberuhkien hallinnan elinkaareen. Tämän vuoksi viitekehyksen ydin viittaa juuri standardiin ISO/IEC 27001 sekä IEC 62443 -sarjan standardeihin.

Kyberuhkien hallinnan ja niiltä suojautumisen lisäksi IEC on kehittänyt monia kansainvälisiä standardeja, jotka ovat kriittisen tärkeitä lentokenttien turvallisuudelle, joista esimerkkinä henkilöllisyystodistusten, koneluettavien passien ja viisumien sekä virallisten matkustusasiakirjojen ja biometrisen tunnistuksen standardit.  ISO/IEC 24713-2:2008 on kansainvälinen standardi, joka koskee lentokenttähenkilöstön biometristen profiilien yhteentoimivuutta ja tietojenvaihtoa. Se kattaa biometrisen tunnistamisen perustoiminnot eli rekisteriin liittymisen, varmennuksen ja tunnistamisen, ja siihen sisältyy tietokantarajapinta.

Kokonaisvaltainen koko toimialan laajuinen riskienhallintaan perustuva lähestymistapa kaikkiin turvallisuuden ja tietoturvallisuuden näkökohtiin, mukaan lukien fyysinen turvallisuus ja kyberturvallisuus, on elintärkeä lentoliikenteelle. Tämä lähestymistapa edellyttää läheistä yhteistyötä, tiedottamista ja tiedonvaihtoa kaikkien sidosryhmien ja operaattorien välillä, olemassa olevien standardien käyttöä ja kehitteillä olevien standardien käyttöönottoa tulevaisuudessa. Ihannetapauksessa lentokenttien tulisi olla mahdollisuuksien mukaan alun perin turvallisiksi suunniteltuja, toisin sanoen fyysisen turvallisuuden ja kyberturvallisuuden toimenpiteiden tulisi olla mukana jo suunnitteluvaiheessa sen sijaan, että ne lisättäisiin jälkikäteen.

Lisää suosikiksi