Ciberamenazas en la Aviación Civil. Incertidumbres ante un riesgo ...

ENcuentroI nternacionaldeSEguridad
número 05■2012
70
■ Miguel A. Villarino
Jefe de Área de Seguridad y
Protección de Infraestructuras del
Transporte
ISDEFE
LA innovación tecnológica
basada en
las TIC ha sido asumida
por el transporte
aéreo al objeto
de optimizar sus prestaciones con un
balance adecuado de coste-eficacia en
un entorno extremadamente competitivo.
El atractivo perfil del transporte aéreo
para potenciales atacantes, añade a las
vulnerabilidades tradicionales, singularidades
frente a los incipientes ciberataques.
Las potenciales brechas derivan de
aspectos estructurales del sector.
Las ciberamenazas resultan imprecisas
según el enfoque dado por cada sector
de la aviación. Dada la escasa incidencia
de estos riesgos se ha sobrestimado
la robustez de los sistemas TIC, subestimando
la capacidad de los “hackers”. No
existe una evaluación de los escenarios
de riesgo, para el desarrollo suficiente de
medidas de mitigación y respuesta.
El elevado nivel tecnológico le hace
susceptible de interés malicioso por industrias
o estados. Por otra parte la evolución
en la gestión del tránsito aéreo
crea una creciente dependencia e interconexión,
posibilitando ciberamenazas a
través de brechas que las tecnologías de
la información incorporan.
No obstante las consecuencias pueden
ir desde la denegación de servicio,
hasta consecuencias catastróficas.
Ciberamenazas
en la Aviación Civil.
Sistemas de Información y
Comunicación Críticos
de la Aviación, –CAIS-
No es objeto de estas notas inventariar
los componentes críticos de la aviación
basados en las TIC. La complejidad
de interrelaciones dificulta los límites y
modelos de protección aplicables. La
prestación de servicios al tránsito aéreo
distingue los siguientes segmentos:
– Aeronaves. Conceptos como: fly by
wire, e-Enabled Systems, aviónica
satelital, comunicaciones operativas,
enlaces con centros de compañías,
electronic flight bags, etc., son
usuales en el equipamiento de las
flotas actuales.
– La Gestión de Tránsito Aéreo –ATMestá
soportada por sistemas, instalaciones
y procedimientos. Estos
componentes son el cimiento terrestre
para la prestación de servicios a
la aviación civil. El subsistema aeroportuario
forma parte de esta trama,
integrando operaciones, recursos y
su seguridad física.
– Las redes dedicadas de la aviación
son la infraestructura soporte de los
anteriores componentes. Estas redes
multiservicio sustentan tráfico
de comunicaciones, vigilancia, supervisión
y datos para la navegación
y gestión del tránsito aéreo en
tiempo real. Igualmente son pasarelas
de conectividad con otras redes

Incertidumbres ante un riesgo emergente
colaterales y comunes de la aviación
mundial.
Esta ciberestructura puede presentar
vulnerabilidades propias de su configuración:
sistemas propietarios, suministro de
Hw/Sw “COTS”, “back door”, migración
hacia IP, proveedores comerciales de comunicaciones,
externalizaciones, insiders,
y exposición a debilidades ajenas,
entre otras. Afortunadamente el principio
de seguridad (safety) inherente a la aviación,
ha desarrollado un sistema resiliente
para la fiabilidad de sus servicios
frente a fallos no intencionados (duplicación
de sistemas, multicoberturas radioeléctricas,
redes malladas…). Esta confi-
guración libera determinados procesos,
que pasan a ser no críticos para la ciberprotección
del sistema de la aviación.
Respaldo normativo
Los primeros hitos reglamentarios de
■ No existe
colaboración de
datos entre los
estados en relación
con las
ciberamenazas ■
interoperabilidad entre sistemas, han venido
de la mano de la Comisión Europea
a través de su iniciativa del Cielo Único
Europeo –SES-. El reglamento UE
73/2010, relativo a la calidad de los datos
aeronáuticos y la información aeronáutica
para el SES, indica que las medi-
das de protección de las organizaciones
deben cumplir con requisitos aplicables a
infraestructuras críticas.
La Organización Internacional de
Aviación Civil –OACI- ha incorporado al
Anexo 17 del Convenio de Aviación Civil
Internacional, la recomendación de que
cada estado debe desarrollar medidas
con objeto de proteger la información y
comunicaciones que pongan en peligro la
seguridad del transporte aéreo.
Por su parte la Conferencia Europea
de Aviación Civil –CEAC-, ha introducido
en la Parte II del Doc. 30, Seguridad, un
capítulo de ciberamenazas de la aviación
civil y desarrolla material de guía.
Retos actuales
Pese a estas iniciativas, no existe
una regulación específica. Los estándares
de seguridad (Ej. series ISO/IEC
17000 y 28000) no están orientados a
estos servicios, dando lugar a niveles
distintos de seguridad. Es necesario un
modelo regulador único. Su supervisión
permitirá verificar la eficiencia normativa
y nivel de cumplimiento.
Es preciso un liderazgo global a través
de organismos de autoridad reconocida
(OACI), con reparto de roles entre
otros internacionales (U.E., CEAC, EASA,
Eurocontrol), y nacionales: Autoridades
de aviación civil y agencias de seguridad.
No existe colaboración de datos entre
los estados en relación con las ciberamenazas.
El reporte de incidentes debe permitir
la investigación y persecución del
delito. Su conocimiento será la única manera
construir mecanismos de detección,
prevención y respuesta efectivos.
número 05■2012
71