Keďže svet sa čoraz viac digitalizuje a prepája, vystavenie kybernetickým hrozbám je čoraz bezprostrednejšie. Odborníci na informačnú bezpečnosť často tvrdia, že nie je otázkou „či“, ale skôr „kedy“ sa určitý subjekt stane terčom páchateľov počítačovej kriminality. Oblasť letectva nie je voči takýmto hrozbám imúnna. Existujú hrozby v oblasti informačnej bezpečnosti, ktoré môžu viesť k narušeniu prevádzky alebo mať vplyv na bezpečnosť letectva.
Súčasťou poslania agentúry EASA, ktorým je zaručenie bezpečnej leteckej dopravy v Európe (a na celom svete), je aj zmierňovanie rizík v oblasti informačnej bezpečnosti. V regulačnom balíku Európskej únie (EÚ) sa vyžaduje, aby organizácie pôsobiace v celom ekosystéme civilného letectva identifikovali, posudzovali a primerane riešili riziká v oblasti informačnej bezpečnosti a aby ich následne kontrolovali s cieľom zabrániť nepriaznivým účinkom na bezpečnosť občanov. Tento ekosystém zahŕňa organizácie zapojené do projektovania, výroby, údržby, prevádzky, výcviku a všetkých činností potrebných na zabezpečenie bezpečnej letovej prevádzky.
Aké sú hrozby pre letectvo a odkiaľ pochádzajú?
Letectvo je „systém systémov“, ktorý spolu s výrobkami leteckej techniky a s nimi spojenými technológiami zahŕňa ľudí, procesy a iné nehmotné aktíva, ktoré sú zase zraniteľné voči hrozbám v oblasti informačnej bezpečnosti.
Všetky rôzne systémy sú zložité a vo veľkej miere vzájomne prepojené. Existuje nespočetné množstvo spôsobov vykonania útoku, ktoré môžu viesť k bezpečnostnému problému, a lietadlo je poslednou líniou obrany. Akékoľvek spojenie medzi lietadlom a zemou (bezdrôtové alebo iné), akýkoľvek komponent údržby, akýkoľvek priemyselný systém a samozrejme dodávateľský reťazec sú vystavené potenciálnym hrozbám. 
Tieto hrozby predstavujú potenciálne porušenia vyplývajúce z neoprávneného prístupu, používania, zverejnenia, narušenia, modifikácie a/alebo zničenia informácií a informačných systémov, ktoré sú súčasťou systému leteckej dopravy. Príčinou mnohých útokov môže byť nedbalosť alebo nedostatočná informovanosť zamestnancov.
Hrozby môžu pochádzať od rôznych strán vrátane páchateľov počítačovej kriminality, hackerských aktivistov (tzv. hacktivistov) a dokonca aj od subjektov podporovaných štátom. Motiváciou takýchto útokov môžu byť finančné, politické alebo osobné dôvody, napríklad potreba uznania alebo pocit úspechu.
Ktoré odvetvia v letectve sú pre škodlivé subjekty najlákavejšie?
Na základe údajov, ktoré zhromažďuje tím EASA pre spravodajské informácie o kybernetických hrozbách, sa zdá, že letiská budú koncom roka 2024 najobľúbenejším cieľom kybernetických útokov, pričom viac ako 50 % zaznamenaných útokov bolo zameraných proti letectvu. Väčšina z nich sú útoky na vyradenie služby. Ide o prípad, keď páchatelia počítačovej trestnej činnosti zahltia systém vysokým objemom údajov, čím spôsobia jeho kolaps. Môže to súvisieť s činnosťou hacktivistov, ktorá je často poháňaná geopolitickým napätím. Zdá sa, že letiská predstavujú obľúbený cieľ kvôli vysokej viditeľnosti, pretože vplyv incidentov na ich chod je veľmi viditeľný. Tabule so zrušenými letmi a nespokojní, meškajúci cestujúci sú ľahkým vizuálnym materiálom pre novinárov.
Zdá sa, že leteckí prevádzkovatelia sú druhým najatraktívnejším cieľom škodlivých subjektov – približne 25 % útokov je zameraných na letecké spoločnosti. Okrem útokov na vyradenie služby trpia leteckí prevádzkovatelia aj útokmi ransomvéru (keď páchatelia počítačovej kriminality zašifrujú údaje subjektu a požadujú výkupné za ich dešifrovanie), ako aj únikmi údajov. Útoky teda majú nielen vplyv na bezpečnosť, ale aj na kontinuitu činností a prevádzku.
Ďalšími dotknutými odvetviami sú na základe zaznamenaných údajov výrobcovia lietadiel a organizácie zaoberajúce sa údržbou, opravami a generálnymi opravami, ako aj vládne inštitúcie, ktoré takisto musia každodenne čeliť rôznym typom kybernetických útokov.
Čo robí EASA, aby bolo letectvo odolnejšie voči kybernetickým útokom?
Prístup EASA ku kybernetickej bezpečnosti v letectve má štyri piliere: osvedčovanie leteckých výrobkov, riziká informačnej bezpečnosti v organizáciách, zdieľanie informácií a budovanie kapacít.
Osvedčovanie leteckých výrobkov
Spočiatku sa kybernetická bezpečnosť v tomto kontexte riešila individuálne. Žiadatelia (organizácie, ktoré sa uchádzajú o osvedčenie letovej spôsobilosti lietadla) museli posúdiť potenciálne účinky hrozieb v oblasti bezpečnosti informácií na bezpečnosť systémov a sietí lietadiel.
Keďže systémy a súčasti lietadla sú čoraz viac prepojené, existuje viac potenciálnych spôsobov útoku. Hrozba už teda nebolo možné riešiť v jednotlivých prípadoch, ale bol potrebný holistický prístup.
Na tento účel EASA začlenila osobitné požiadavky na osvedčovanie lietadiel, v ktorých sa uvádza, že „vybavenie, systémy a siete lietadla, posudzované samostatne a vo vzťahu k iným systémom, musia byť chránené pred úmyselnými neoprávnenými elektronickými interakciami, ktoré môžu mať nepriaznivé účinky na bezpečnosť lietadla“.
Riziká informačnej bezpečnosti v organizáciách
Keďže hrozby v oblasti informačnej bezpečnosti sa neobmedzujú len na proces projektovania lietadla, ale zahŕňajú aj ľudí a procesy, v rokoch 2022 a 2023 bol uverejnený nový súbor pravidiel, tzv. „Časť-IS“, kde IS znamená „informačnú bezpečnosť“ [pozostávajúcu z delegovaného nariadenia (EÚ) 2022/1645 a vykonávacieho nariadenia (EÚ) 2023/203 pre tých, ktorí majú záujem o podrobnejšie informácie]. V časti IS sa stanovujú požiadavky s cieľom chrániť systém letectva pred rizikami v oblasti informačnej bezpečnosti, ktoré majú potenciálny vplyv na bezpečnosť. Časť IS zahŕňa systémy informačných a komunikačných technológií a údaje používané schválenými organizáciami a orgánmi na účely civilného letectva. Na dosiahnutie jej cieľa sa v časti IS vyžaduje zriadenie, zavedenie a udržiavanie systému riadenia informačnej bezpečnosti.
Výmena informácií
Tretím pilierom je výmena informácií, ktorá má v súčasnosti dva rôzne zdroje. Európske centrum pre kybernetickú bezpečnosť v letectve, ktoré pozostáva zo zainteresovaných strán z odvetvia, ako aj z orgánov, a sieť kybernetických analytikov, ktorá pozostáva zo zástupcov členských štátov. Ide o komunity, v ktorých bola vybudovaná dôvera medzi zúčastnenými organizáciami, ktorá im umožňuje vymieňať si poznatky, ako sú spravodajské informácie o hrozbách vo forme správ, upozornení na možné hrozby a poznatkov z analýzy incidentov, a podporovať spoluprácu medzi členmi.
Rozvoj kapacít
V neposlednom rade sú činnosti zamerané na rozvoj kapacít dôležitou súčasťou prístupu EASA ku kybernetickej bezpečnosti. Vzhľadom na rýchle tempo technologického pokroku je dôležité, aby tím agentúry EASA pre kybernetickú bezpečnosť držal krok s dobou. Preto je odborná príprava dôležitou súčasťou činností tímu spolu s výskumom, ktorý zohráva kľúčovú úlohu pri chápaní budúcich foriem hrozieb a pri prijímaní proaktívneho postoja proti hrozbám v oblasti kybernetickej bezpečnosti.
Výskumný projekt programu Horizont Európa: CYBER – Oblasť odolnosti letectva a formy kybernetických bezpečnostných hrozieb
V roku 2024 EASA spustila výskumný projekt týkajúci saodolnostikybernetickej odolnosti letectva a foriem kybernetických hrozieb. Cieľom tohto projektu je identifikovať kybernetické hrozby, ktoré by mohli mať negatívny vplyv na bezpečnosť letovej prevádzky. EASA sa vďaka týmto poznatkom snaží pomôcť vybudovať silnejší a odolnejší systém leteckej dopravy do budúcnosti.
Komunita agentúry EASA pre kybernetickú bezpečnosť
Ak máte záujem o najnovšie informácie o všetkých uvedených činnostiach, EASA vytvorila komunitu pre kybernetickú bezpečnosť, v rámci ktorej si vymieňame informácie o celom rade tém súvisiacich s kybernetickou bezpečnosťou v oblasti letectva. Či už ste nadšenec alebo odborník v tejto oblasti, radi vás privítame na palube a radi sa s vami podelíme o názory na viaceré zaujímavé témy z oblasti kybernetickej bezpečnosti v letectve.
Niekoľko poznámok k narušovaniu systému GNSS: rušenie a spoofing
Od februára 2022 došlo k výraznému zintenzívneniu rušenia a spoofingu globálneho navigačného satelitného systému (GNSS), najmä v regiónoch okolo konfliktných zón a iných citlivých oblastiach, ako je Stredozemné more, Čierne more, Blízky východ, Baltské more a Arktída. Možno ste sa o tom dopočuli v správach. Aj tieto incidenty patria do oblasti kybernetickej bezpečnosti v letectve.
Rušenie je úmyselné rušenie rádiových frekvencií, ktoré bráni prijímačom systému GNSS zamerať sa na satelitné signály, čím sa tento systém stáva neúčinným alebo sa zhoršuje jeho funkčnosť. Spoofing zahŕňa vysielanie falšovaných satelitných signálov s cieľom zmiasť prijímače systému GNSS, čo spôsobuje nesprávne určenie polohy, navigácie a času, takže systém môže pilotom oznámiť, že letia nad Parížom o 7. hodine ráno, pričom v skutočnosti letia v noci nad Rímom. Tieto rušenia môžu spôsobovať rôzne problémy pre lietadlá a pozemné systémy, ale nemali žiadny vplyv na bezpečnosť letov. EASA tento jav neustále monitoruje a je pripravená poskytnúť poradenstvo všetkým účastníkom leteckej dopravy v prípade, že sa objavia náznaky ohrozenia bezpečnosti.