IX Aviation Breakfast - cyberbezpieczeństwo w lotnictwie cywilnym

6 czerwca br. w sali Aviator warszawskiego Airport Hotel Okęcie odbyło się dziewiąte Aviation Breakfast zorganizowane przez portal Polski Rynek Transportu Lotniczego PRTL.pl pod patronatem Urzędu Lotnictwa Cywilnego, Państwowej Agencji Żeglugi Powietrznej oraz Związku Regionalnych Portów Lotniczych we współpracy z Cisco Systems Poland i Intertrading Systems Technology.

 

   

 

Spotkanie miało na celu określenie podatności biznesu lotniczego na zagrożenia związane z bezpieczeństwem informatycznym, ich konsekwencji dla jego rozwoju oraz zdefiniowaniu wyzwań jakie stoją przed podmiotami z branży lotniczej w zakresie technologii informatycznych w związku z unijną reformą prawa o ochronie danych osobowych.  

 

Wzięli w nim udział między innymi przedstawiciele: Urzędu Lotnictwa Cywilnego, Państwowej Agencji Żeglugi Powietrznej, Związku Regionalnych Portów Lotniczych, Departamentu Lotnictwa MIiB, Portów Lotniczych w Katowicach, Krakowie, Łodzi, Poznaniu, Radomiu, Polskich Linii Lotniczych „LOT”, Przedsiębiorstwa Państwowego „Porty Lotnicze”, a także firm handlingowych, informatycznych oraz prawniczych.

 

   

 

Pan Piotr Samson, Prezes ULC zwrócił uwagę, że cyberzagrożenia dla lotnictwa cywilnego to realny i poważny problem, który może bardzo poważnie zakłócić organizację usług w lotnictwie cywilnym. Wspomniał o przeprowadzonych w 2016 roku konferencjach nt. bezzałogowych statków powietrznych i cyberbezpieczeństwa. W tym roku w dniach 8-9 listopada w Krakowie odbędzie się międzynarodowa konferencję wysokiego szczebla na temat cyberbezpieczeństwa w lotnictwie cywilnym. Konferencja w Krakowie będzie kolejną wspólną konferencją Europejskiej Agencji Bezpieczeństwa Lotniczego (EASA), Ministerstwa Infrastruktury i Budownictwa oraz Urzędu Lotnictwa Cywilnego.

 

   

 

Pan Łukasz Bromirski z Cisco Systems Poland przedstawił prezentację „Biznes a cyberbezpieczeństwo w lotnictwie”.

 

Przywołane w prezentacji liczne przykłady pokazały, że podmioty z branży lotniczej narażone są, i coraz częściej padają ofiarą ataków cyberprzestępców. Z racji prowadzonego biznesu podmioty z branży lotniczej przetwarzają olbrzymią ilość danych, związanych zarówno z funkcjonowaniem ich organizacji, ale także danych osobowych obsługiwanych pasażerów i klientów. Celem ataków oprócz uniemożliwienia funkcjonowania organizacji jest chęć pozyskania wrażliwych informacji celem uzyskania korzyści majątkowych, często poprzez wymuszanie okupu. A co najważniejsze, tego typu działania mogą mieć bezpośredni wpływ na bezpieczeństwo latania.

 

   

 

Ataki odbywają się coraz częściej poprzez urządzenia peryferyjne, teoretycznie niemające bezpośredniego związku z komputerami, takie jak skanery lub telefony, czy systemy audio wizyjne. Omówiony został problem silosów, polegający na istnieniu wielu systemów IT, które nie są ze sobą połączone i nie komunikują się ze sobą. Wbrew pozorom, z punktu widzenia bezpieczeństwa jest to niekorzystna sytuacja. Pokazany też został rzeczywisty atak typu ransomware i jego możliwe skutki jeżeli zostają zignorowane podstawowe zasady ochrony (procedury, brak odpowiednich narzędzi, itd.).

 

Panowie Bartłomiej Wachta i Sławomir Kowalski z kancelarii Maruta Wachta przedstawili prezentację „Fakty i mity o RODO – wprowadzenie do dyskusji”.

 

   

 

Rozporządzenie o ochronie danych osobowych (RODO) zacznie być stosowane od 25 maja 2018 r. stanowiąc jednolite prawo obowiązujące w całej Unii Europejskiej. Podejście do ochrony danych osobowych oparte będzie na ryzyku, które musi ocenić przetwarzający dane i dobrać do niego odpowiednie środki ochrony. Rozporządzenie przewiduje bardzo dotkliwe sankcje w postaci wysokich kar finansowych w przypadku niezapewnienia w sposób ciągły właściwej ochrony.

Częste mity dotyczące RODO to m.in., że wymaga ustawy krajowej, aby mogło być stosowane, że można poczekać z jego wdrożeniem, że nie wprowadza zasadniczych zmian w podejściu do ochrony danych osobowych, a także, że wdrożenie ISO 27001 oznacza gotowość na RODO.

 

   

 

RODO wpływa na całą organizację i jego stosowanie jest procesem ciągłym, wymagającym bieżącego nadzoru i reagowania na zmiany. Odpowiedzialności za zgodność z RODO nie da się outsourcować.

 

Wśród obszarów wpływu RODO na branżę lotniczą można wymienić: monitorowanie osób przebywających na lotnisku, background screening pracowników, listy osób podejrzewanych o terroryzm i wykorzystanie danych PNR. Wdrożenie RODO wymaga wykonania szeregu zadań, a odpowiedzialność za jego wdrożenie można zbudować wykorzystując metodologię macierzy RACI.

 

   

 

Moderatorem ożywionej dyskusji był pan Krzysztof Frydrychowicz z CIOnet Polska. Dyskusja dotyczyła bardzo wielu wątków. Do najważniejszych należały:

• duża skala problemu, wysoka liczba ataków,
• problematyka ataków poprzez elementy nie będące podstawową strukturą IT,
• wysokość nakładów na zapewnienie bezpieczeństwa IT w kontekście wielu punktów styku systemów informatycznych i tym samym możliwości ingerencji,
• stosowanie filozofii budowania systemów bezpieczeństwa, których nie opłaca się atakować,
• rozwiązania własne versus rozwiązania zewnętrzne,
• zagrożenia związane z kradzieżą i zgubieniem sprzętu informatycznego,
• przepaść kompetencyjna w zakresie bezpieczeństwa IT pomiędzy zarządzającymi a kadrą informatyczną,
• godzenie się na wygodę użytkowników kosztem poziomu bezpieczeństwa,
• czynnik ludzki w systemie bezpieczeństwa,
• potrzeba stosowania norm jakościowych i doprecyzowania wymogów branżowych w zakresie bezpieczeństwa,
• konieczność identyfikacji kluczowych aktywów i zasobów oraz ustalenie infrastruktury krytycznej,
• współpraca z agendami rządowymi w celu zapewnienia bezpieczeństwa,
• rola Urzędu Lotnictwa Cywilnego w zapewnieniu cyberbezpieczeństwa, współpraca z Ministerstwem Cyfryzacji, koordynacja na poziomie krajowym i międzynarodowym – z EASA,
• ULC jako centrum wymiany danych z podmiotów rynku lotniczego w zakresie cyberbezpieczeństwa, w którym konsolidowana byłaby wiedza na temat zagrożeń oraz sposobów zapobiegania i ochrony przed cyberatakami,
• dobre praktyki z innych branż (np. telekomunikacyjnej) takich jak platformy informacyjne, grupy szybkiego reagowania i prowadzenie ćwiczeń (pozorowanie ataków).

 

 

PRTL.pl

 

 

 

 

Aby otrzymać dostęp do komentowania artykułów musisz się zalogować.

LOGIN

HASŁO

Jeżeli nie masz jeszcze konta, załóż je teraz

Rejestracja

Komentarze do tego artykułu: