Na era digital atual, as ameaças cibernéticas tornaram-se frequentes e estão a tornar-se cada vez mais sofisticadas, representando um risco significativo para os aeroportos e seus clientes. Veja como abordar a cibersegurança aeroportuária.
Aviso: Este texto foi originalmente escrito em inglês e traduzido com recurso a inteligência artificial.
Por BEUMER Group
As ameaças cibernéticas à aviação e aos aeroportos são vastas e complexas. As medidas tradicionais de segurança aeroportuária têm-se concentrado principalmente em ameaças físicas, como terrorismo e contrabando.
No entanto, o cenário digital introduziu uma nova geração de adversários com o objetivo de explorar vulnerabilidades nos sistemas aeroportuários. Os ataques cibernéticos a aeroportos e aos sistemas que ajudam a gerir um aeroporto podem vir de diversas fontes, incluindo hackers patrocinados por estados, grupos criminosos e até mesmo pessoas internas com acesso a informações confidenciais. Esses ataques cibernéticos podem assumir muitas formas, como phishing, malware, ransomware ou ataques de negação de serviço (DoS).
“As ameaças cibernéticas estão a tornar-se cada vez mais prevalecentes devido à necessidade de conectividade global e à mudança para um mundo mais digitalizado”, afirma Ibrahim Memis, Head de Cibersegurança da BEUMER Group.
Um dos maiores desafios na cibersegurança aeroportuária é o vasto número de dispositivos e sistemas conectados. Desde câmeras de segurança até sistemas de manuseio de bagagem, cada componente pode ser um alvo potencial para criminosos cibernéticos.
A interconectividade desses sistemas também significa que uma única violação pode espalhar-se rapidamente por toda a infraestrutura do aeroporto. Para proteger os seus ativos e manter a sua reputação, os aeroportos devem priorizar e investir em medidas robustas de cibersegurança e compreender as melhores práticas de cibersegurança aeroportuária.
Os aeroportos, que lidam com dados confidenciais, como informações de passageiros, horários de companhias aéreas e manifestos de carga, são alvos privilegiados para atacantes cibernéticos. A sua dependência de sistemas complexos de controlo industrial aumenta a vulnerabilidade a ataques cibernéticos disruptivos. Ataques cibernéticos bem-sucedidos podem causar interrupções de voos, violações de dados, perdas financeiras e prejudicar a reputação de um aeroporto, a confiança do cliente e o ecossistema geral de transporte e comércio.
Houve vários incidentes de alto nível na última década que destacam a crescente ameaça de ataques cibernéticos à indústria da aviação.
Uma pesquisa rápida no Google revelará como esta crescente ameaça de ataques cibernéticos a aeroportos e à indústria da aviação destaca a necessidade de medidas aprimoradas de cibersegurança. À medida que os aeroportos continuam a digitalizar e a depender de sistemas interconectados, o risco de ataques cibernéticos aumenta. É crucial que os aeroportos priorizem a cibersegurança e implementem medidas de segurança robustas para mitigar esses riscos.
Uma medida proativa que os aeroportos podem tomar é garantir que o seu fornecedor de manuseio de bagagem seja certificado ISO 27001.
A ISO 27001 é uma norma reconhecida internacionalmente para sistemas de gestão de segurança da informação. Ela orienta as organizações na identificação e no tratamento eficaz de ameaças cibernéticas. Os aeroportos podem melhorar a sua cibersegurança e resiliência contra ataques ao fazerem parceria com um fornecedor de manuseio de bagagem com certificação ISO 27001.
A certificação ISO 27001 indica que o fornecedor implementou um sistema de gestão de segurança da informação (SGSI) abrangente que segue as melhores práticas reconhecidas internacionalmente. Isto significa que o fornecedor tomou medidas para identificar e avaliar potenciais riscos de segurança, implementar controlos adequados para mitigar esses riscos e monitorizar e melhorar regularmente a sua postura de segurança.
“Envolver um fornecedor confiável de uma perspetiva de segurança envolve fazer parceria com uma organização que prioriza a segurança e pesquisou e implementou minuciosamente todos os controlos e medidas de segurança necessários”, afirma Ibrahim Memis.
Ao colaborar com um fornecedor certificado pela ISO 27001, os aeroportos podem melhorar a segurança dos seus sistemas de manuseio de bagagem e proteger os dados confidenciais dos seus clientes. Além disso, tais parcerias podem ajudar os aeroportos a cumprir as obrigações de conformidade regulamentar relativas à cibersegurança, alinhando-se estreitamente com a mais recente alteração divulgada pela Transportation Security Administration (TSA).
A IEC 62443 é uma norma específica que se concentra na cibersegurança de sistemas de automação e controlo industrial. Ela fornece diretrizes e melhores práticas para proteger esses sistemas contra ameaças e ataques cibernéticos, incluindo requisitos para proteger todo o seu ciclo de vida, desde o design e desenvolvimento até a implementação e manutenção.
Embora ambas as normas, ISO 27001 e IEC 62443, sejam reconhecidas internacionalmente e priorizem a cibersegurança e a segurança da informação, elas diferem em escopo. Apesar das suas diferenças, a ISO 27001 e a IEC 62443 enfatizam a importância da avaliação e gestão de riscos, bem como a necessidade de um processo de melhoria contínua para manter a segurança.
“A certificação ISO 27001 abrange o comportamento humano, incluindo como agimos, como trabalhamos e como concluímos tarefas para garantir que não estamos a apanhar pen drives de estacionamentos ou a envolver-nos em outros comportamentos de risco”, afirma Per Engelbrechtsen, Diretor de Desenvolvimento de Negócios da BEUMER Group. “Além do aspeto do comportamento humano, há também um foco na segurança do produto”.
Em contraste, a IEC 622443 descreve como os produtos devem ser construídos e os níveis de segurança necessários para o que é entregue aos clientes. Esta é a combinação dos dois aspetos, com um focado na segurança do produto e o outro em como a organização se comporta.
“Ambos os aspetos, segurança do produto e comportamento humano, são importantes para a cibersegurança”, continua Per Engelbrechtsen.
Os fornecedores podem procurar a certificação IEC 62443 submetendo-se a uma auditoria por um organismo de certificação acreditado que verifica se os seus produtos ou serviços cumprem os requisitos técnicos e as diretrizes de implementação estabelecidas na norma.
Fazer parceria com um fornecedor certificado ISO 27001 e adotar as normas IEC 62443 pode oferecer vários benefícios a um aeroporto em termos de cibersegurança e segurança da informação.
Um fornecedor certificado ISO 27001 pode fornecer ao aeroporto um sistema de manuseio de bagagem confiável e seguro, construído e mantido de acordo com as normas internacionais de segurança da informação. O fornecedor teria implementado um sistema de gestão de segurança da informação abrangente para identificar e mitigar potenciais riscos de segurança, bem como medidas para garantir a confidencialidade, integridade e disponibilidade das informações.
A adoção das normas IEC 62443 pode fornecer ao aeroporto uma estrutura abrangente para proteger o seu IACS contra ameaças e ataques cibernéticos. Isto inclui diretrizes e melhores práticas para proteger todo o ciclo de vida do IACS, desde o design e desenvolvimento até a implementação e manutenção. Ao implementar as normas IEC 62443, o aeroporto pode reduzir o risco de ameaças e ataques cibernéticos, proteger a sua infraestrutura crítica e garantir a continuidade dos negócios.
“A ISO 27001 pode ser vista como uma estrutura ampla para a cibersegurança, enquanto a IEC 62443 fornece uma abordagem mais específica”, afirma Ibrahim Memis. “No entanto, estas duas estruturas funcionam bem juntas porque as diretrizes da IEC permitem a implementação dos requisitos da ISO de uma forma mais direcionada e precisa.”
Ele enfatiza que as preocupações com a cibersegurança aeroportuária devem começar no nível mais alto de qualquer organização
“A estratégia de cibersegurança é uma preocupação da gestão de topo e um tópico estratégico que deve ser integrado na organização”, afirma. “Um fornecedor certificado pode usar estruturas e normas existentes, como a ISO 27001 como base, e personalizá-las para atender às necessidades em questão. Como cada organização é única, é fundamental integrar a segurança perfeitamente na infraestrutura de TI interna e no portfólio de produtos externo. A segurança não deve ser tratada como um complemento, mas como um componente integrado da organização.”
A ascensão da Internet of Things (IoT) – uma rede de dispositivos físicos, veículos, eletrodomésticos e outros itens que são incorporados com sensores, software e conectividade, permitindo-lhes coletar e trocar dados – teve um impacto significativo nas infraestruturas de TI e de Tecnologia Operacional, particularmente na indústria da aviação.
Os ambientes de Tecnologia Operacional consistem em hardware, software e componentes de rede que são projetados para fins específicos e exigem conhecimento e habilidades especializados para operar e manter. Devido à sua natureza crítica e potencial impacto na segurança pública e na economia, os ambientes de Tecnologia Operacional estão sujeitos a riscos e desafios de segurança exclusivos.
Nos aeroportos, os dispositivos IoT estão a ser cada vez mais usados para gerir e otimizar as operações aeroportuárias, como manuseio de bagagem, fluxo de passageiros e gestão de instalações. Esses dispositivos geram grandes quantidades de dados que podem ser usados para melhorar a eficiência do aeroporto e aprimorar a experiência do passageiro.
No entanto, a adoção generalizada de dispositivos IoT também cria novos riscos de cibersegurança para os aeroportos, particularmente porque muitos desses dispositivos estão conectados às infraestruturas de TI e de Tecnologia Operacional. Isto significa que um ataque cibernético a um dispositivo IoT pode potencialmente comprometer as infraestruturas de TI e de Tecnologia Operacional, levando a interrupções operacionais e outras consequências negativas.
Além dos riscos de hacking de IoT, securing as informações geradas por ativos operacionais, como sistemas de manuseio de bagagem (BHS), também é fundamental. Os dados gerados por BHS, por exemplo, incluem informações confidenciais de passageiros e outros dados operacionais que devem ser protegidos contra acesso e uso indevido não autorizados.
Para abordar esses riscos, é importante implementar medidas de segurança robustas para todos os dispositivos IoT, incluindo controlos de acesso, criptografia e outros protocolos de segurança, para proteger contra acesso e uso indevido não autorizados.
Os avanços na IA e as tecnologias emergentes também contribuem para a crescente importância da cibersegurança aeroportuária. As ferramentas de IA aprimoram a segurança e agilizam as operações, mas introduzem novos riscos, como violações de dados e preocupações com a privacidade. O reconhecimento facial baseado em IA e os drones melhoram a eficiência, mas também representam desafios de segurança.
“As ferramentas baseadas em IA, incluindo plataformas como o ChatGPT e outras, tornaram notavelmente mais fácil para indivíduos sem grande experiência em cibersegurança ou técnicas de hacking explorar vulnerabilidades e lançar ataques contra empresas e infraestruturas críticas”, afirma Ibrahim Memis.
As ameaças de cibersegurança que a indústria da aviação enfrenta incluem hacking, phishing e outras formas de engenharia social. Os atacantes cibernéticos podem explorar vulnerabilidades nos sistemas de aeroportos e companhias aéreas para roubar dados confidenciais, interromper operações ou causar outras formas de dano.
“É importante avaliar constantemente os riscos e identificar formas de os mitigar, pois a natureza dos riscos pode mudar ao longo do tempo”, afirma Ibrahim Memis. “Por exemplo, há três anos, a tensão geopolítica na Ucrânia não era considerada um grande risco. No entanto, com o atual aumento de ataques cibernéticos com motivação política, é importante reavaliar a sua estratégia de gestão de riscos e levar em consideração o potencial de ataques geopolíticos à sua infraestrutura ou produtos.”
A pandemia de COVID-19 teve um impacto significativo na cibersegurança aeroportuária, particularmente porque os aeroportos tiveram de se adaptar a novas soluções digitais e sem toque para fornecer uma jornada de passageiro mais segura e perfeita. A mudança para soluções digitais aumentou a dependência da tecnologia e criou novas vulnerabilidades que os atacantes cibernéticos podem explorar.
As soluções sem toque implementadas pelos aeroportos, como quiosques de check-in de autoatendimento, pagamentos sem contacto e sistemas de identificação biométrica, dependem fortemente da tecnologia digital e da conectividade.
Embora a mudança para soluções digitais e sem toque tenha proporcionado benefícios para as operações aeroportuárias e a experiência do passageiro, também criou novas vulnerabilidades que os atacantes cibernéticos podem explorar, incluindo hacking, phishing e outras formas de engenharia social. Os atacantes cibernéticos podem explorar vulnerabilidades nesses sistemas digitais para roubar dados confidenciais, interromper as operações do aeroporto ou causar outras formas de dano.
“Esses fatores simplificam certos aspetos das viagens, mas também apresentam desafios significativos para empresas e indústrias que pretendem proteger-se eficazmente contra essas ameaças”, afirma Ibrahim Memis.
Além disso, a pandemia reduziu o pessoal do aeroporto, levando a uma maior dependência da automação e de soluções digitais. Essa dependência pode criar vulnerabilidades, pois esses sistemas podem não estar adequadamente protegidos, tornando-os mais suscetíveis a ataques cibernéticos.
Um ataque cibernético bem-sucedido a um aeroporto pode ter consequências graves. Pode levar a atrasos ou cancelamentos de voos, danos à reputação, perda de confiança do cliente e perdas financeiras. Um hacker também pode obter acesso a informações confidenciais, como detalhes de passageiros ou planos de voo, colocando indivíduos em risco de roubo de identidade ou outras atividades maliciosas que ameaçam a segurança pública.
Assim, a cibersegurança aeroportuária é um componente crítico das operações aeroportuárias. As consequências de um ataque cibernético bem-sucedido podem ser graves e o cenário de ameaças está em constante evolução. Portanto, os aeroportos precisam de implementar uma estratégia abrangente de cibersegurança que inclua avaliação de riscos, controlo de acesso, segurança de rede, segurança de endpoints e planeamento de resposta a incidentes.
“Ter todas as políticas e processos necessários em vigor é essencial”, conclui Ibrahim Memis.
