Maailman digitalisoituessa ja verkottuessa enenevässä määrin altistuminen kyberuhkille kasvaa. Tietoturva-asiantuntijat toteavat usein, että kyse ei ole siitä, joutuuko tietty taho kyberhyökkäyksen kohteeksi, vaan milloin niin käy. Ilmailukaan ei ole immuuni kyberuhkille. Jotkin tietoturvauhat voivat johtaa toiminnan keskeytyksiin, toiset taas vaikuttaa lentoturvallisuuteen.
EASAn tehtävänä on varmistaa turvallinen lentomatkustaminen Euroopassa (ja maailmanlaajuisesti). Tähän kuuluu tietoturvariskien hallinta. Euroopan unionin (EU) sääntelypaketissa edellytetään, että siviili-ilmailun ekosysteemin kaikki toimijat tunnistavat, arvioivat ja käsittelevät tietoturvariskit oikeasuhteisella tavalla ja että riskejä valvotaan kansalaisten turvallisuuteen kohdistuvien haittavaikutusten välttämiseksi. Tähän ekosysteemiin kuuluvat organisaatiot, jotka osallistuvat ilma-alusten suunnitteluun, tuotantoon, huoltoon, toimintaan sekä ilmailualan koulutukseen ja kaikkiin tarvittaviin toimiin turvallisen lentotoiminnan varmistamiseksi.
Mitkä ovat ilmailuun kohdistuvat uhat ja mistä ne ovat peräisin?
Ilmailu on monitasoinen järjestelmäkokonaisuus, joka sisältää ilmailutuotteiden ja niihin liittyvien teknologioiden ohella ihmisiä, prosesseja ja muuta aineetonta omaisuutta, jotka ovat alttiita tietoturvariskeille.
Kaikki nämä monitahoiset järjestelmät ovat tiiviisti toisiinsa linkittyneitä. Näin ollen kokonaisuudessa on lukemattomia mahdollisia hyökkäysreittejä, jotka voivat johtaa turvallisuusongelmaan. Ilma-alus on ketjun viimeinen linkki. Potentiaalisten uhkien kohteena ovat lentokoneen ja maanpinnan väliset (langattomat tai kiinteät) yhteydet, huoltokomponentit, teollisuusjärjestelmät ja tietenkin toimitusketjut. 
Nämä uhat ovat mahdollisia tietoturvaloukkauksia, jotka johtuvat luvattomasta pääsystä ilmailujärjestelmään liittyviin tietoihin ja tietojärjestelmiin, näiden käytöstä, paljastamisesta, häirinnästä, muuttamisesta ja/tai tuhoamisesta. Monien hyökkäysten perimmäinen syy voi olla huolimattomuus tai työntekijöiden tietämättömyys.
Uhan takana voi olla kyberrikollisia, haktivisteja ja jopa valtion tukemia toimijoita. Tällaisten hyökkäysten motiiveina voivat olla taloudelliset, poliittiset tai henkilökohtaiset syyt, kuten tunnustuksen tai onnistumisen tunteen hakeminen.
Mihin ilmailun osa-alueisiin kohdistuu suurin kyberuhka?
EASAn kyberuhkien tiedusteluryhmän keräämien tietojen perusteella lentoasemat näyttivät olevan suosituin kyberhyökkäysten kohde vuoden 2024 lopussa, sillä niihin kohdistui yli 50 prosenttia ilmailualaan kohdistuneista kirjatuista hyökkäyksistä. Useimmat näistä ovat palvelunestohyökkäyksiä. Palvelunestohyökkäyksessä kyberrikolliset kuormittavat järjestelmää suurella liikennemäärällä kaataakseen sen. Tämä voidaan yhdistää haktivistien toimintaan, jota usein ruokkivat geopoliittiset jännitteet. Lentoasemat houkuttelevat kohteina, sillä niiden toiminnan häiriöt herättävät paljon huomiota. Lentojen peruutuksista kertovat taulut ja lentojen viivästymisten vuoksi tyytymättömät matkustajat ovat hyvää kuvamateriaalia uutisjuttuja varten.
Lentoliikenteen harjoittajat ovat toiseksi houkuttelevin kohde kyberrikollisille, sillä noin 25 prosenttia hyökkäyksistä kohdistui lentoyhtiöihin. Palvelunestohyökkäysten lisäksi lentoliikenteen harjoittajiin kohdistuu myös kiristysohjelmahyökkäyksiä (kyberrikolliset salaavat kohteen tiedot ja vaativat lunnaita niiden palauttamiseksi käyttöön) sekä tietomurtoja. Hyökkäyksillä on siis paitsi turvallisuusvaikutuksia myös vaikutuksia liiketoiminnan jatkuvuuteen ja toimintaan.
Kerätyn datan perusteella vaikutukset kohdistuvat myös lentokoneiden valmistajiin ja huolto-, korjaus- ja kunnostusorganisaatioihin sekä julkisiin laitoksiin, jotka myös joutuvat päivittäin erityyppisten kyberhyökkäysten kohteeksi.
Mitä EASA tekee ilmailun kyberuhkien torjuntakyvyn parantamiseksi?
EASA perustaa lähestymistapansa ilmailualan kyberturvallisuuden neljään pilariin: ilmailutuotteiden sertifiointi, organisatoriset tietoturvariskit, tietojen jakaminen ja valmiuksien kehittäminen.
Ilmailutuotteiden sertifiointi
Kyberturvallisuutta käsiteltiin aluksi tapauskohtaisesti. Hakijoiden (ilma-aluksen sertifiointia hakevien organisaatioiden) oli arvioitava tietoturvauhkien mahdollisia vaikutuksia ilma-aluksen järjestelmien ja tietoverkkojen turvallisuuteen.
Koska ilma-alusten järjestelmät ja osat ovat yhä tiiviimmin yhteydessä toisiinsa, mahdollisia hyökkäysreittejä on enemmän. Uhkia ei siis enää voitu käsitellä tapauskohtaisesti, vaan tarvittiin kokonaisvaltainen lähestymistapa.
Siksi EASA sisällytti ilma-alusten sertifiointiin erityisvaatimuksia, joissa täsmennetään, että ”lentokoneen laitteita, järjestelmiä ja verkkoja, joita tarkastellaan erikseen ja suhteessa muihin järjestelmiin, on suojattava tahalliselta luvattomalta sähköiseltä vuorovaikutukselta, joka voi vaikuttaa haitallisesti lentokoneen turvallisuuteen”.
Organisaation tietoturvariskit
Tietoturvauhat eivät rajoitu ainoastaan ilma-alusten suunnitteluun, vaan niihin liittyy myös ihmisiä ja prosesseja. Siksi vuosina 2022 ja 2023 julkaistiin uudet tietoturvaosaa koskevat säännöt (jotka koostuvat delegoidusta asetuksesta (EU) 2022/1645 ja täytäntöönpanoasetuksesta (EU) 2023/203 niille aiheesta enemmän kiinnostuneille). Tietoturvaosassa vahvistetaan vaatimukset, joiden tavoitteena on suojata ilmailujärjestelmä tietoturvariskeiltä, joilla voi olla vaikutusta turvallisuuteen. Tietoturvaosa kattaa hyväksyttyjen organisaatioiden ja viranomaisten siviili-ilmailutarkoituksiin käyttämät tieto- ja viestintätekniset järjestelmät ja tiedot. Tavoitteen saavuttamiseksi tietoturvaosa edellyttää tietoturvan hallintajärjestelmän perustamista, käyttöönottoa ja ylläpitoa.
Tietojen jakaminen
Kolmas pilari on tietojen jakaminen, jota toteutetaan tällä hetkellä kahdella eri tavalla. Eurooppalainen ilmailualan kyberturvallisuuskeskus, joka koostuu sekä alan että viranomaisten sidosryhmistä, ja kyberanalyytikkojen verkosto, joka koostuu jäsenvaltioiden edustajista. Näihin yhteisöihin osallistuvien organisaatioiden välisen luottamuksen ansiosta organisaatiot voivat jakaa tietoa, kuten uhkatiedustelutietoja, mahdollisia uhkia koskevia ilmoituksia, hälytyksiä mahdollisista uhista ja näkemyksiä häiriöiden analysoinnista, sekä edistää jäsenten välistä yhteistyötä.
Valmiuksien kehittäminen
Valmiuksien kehittäminen on tärkeä osa EASAn kyberturvallisuuslähestymistapaa. Teknologian nopean kehityksen takia EASAn kyberturvallisuustiimin on pysyttävä kehityksen kärjessä. Siksi koulutus tutkimuksen ohella on tärkeä osa ryhmän toimintaa. Tutkimuksella on keskeinen rooli tulevan uhkaympäristön ymmärtämisessä ja ennakoivan asenteen omaksumisessa kyberturvallisuusuhkien torjumiseksi.
Horisontti Eurooppa -puiteohjelman tutkimushanke: CYBER – ilmailun häiriönsietokyky ja kyberuhkaympäristö
EASA käynnisti vuonna 2024 tutkimushankkeen CYBER – ilmailun häiriönsietokyky ja kyberuhkaympäristö. Hankkeen tavoitteena on tunnistaa lentotoiminnan turvallisuutta mahdollisesti vaarantavat kyberturvallisuusuhat. Näiden tietojen pohjalta EASA rakentaa entistä vahvempaa ja kestävämpää ilmailujärjestelmää tulevaisuuden tarpeisiin.
EASAn kyberturvallisuusyhteisö
Edellä kuvattuja toimien etenemistä on nyt mahdollista seurata, sillä EASA on perustanut kyberturvallisuusyhteisön ilmailualan kyberturvallisuutta koskevien tietojen jakamiseksi. Alan harrastajat tai asiantuntijat ovat lämpimästi tervetulleita keskustelemaan ilmailualan kyberturvallisuudesta.
Huomioita satelliittipaikannuksen häirinnästä: häirintä ja harhauttaminen
Maailmanlaajuisen satelliittinavigointijärjestelmän (GNSS) häirintä ja harhauttaminen on lisääntynyt helmikuun 2022 jälkeen huomattavasti erityisesti konfliktialueiden ympäristössä ja muilla herkillä alueilla, kuten Välimeren, Mustanmeren, Lähi-idän, Itämeren ja arktisen alueen ympäristössä. Häirinnästä on viime aikoina uutisoitu laajasti. Ilmailun satelliittinavigointijärjestelmien häirinnässä on kyse ilmailun kyberturvallisuudesta.
Peittohäirintä tarkoittaa tahallista radiotaajuushäirintää, joka estää satelliittisignaalien läpimenon satelliittipaikannusjärjestelmän vastaanottimiin, mikä heikentää järjestelmän toimintaa tai tekee siitä käyttökelvottoman. Harhauttaminen tarkoittaa virheellisten satelliittisignaalien lähettämistä satelliittipaikannusjärjestelmän vastaanottimien harhauttamiseksi, jolloin sijainti-, navigointi- ja aikatiedot ovat virheelliset. Järjestelmä saattaa siis kertoa vaikkapa lentäjille, että he lentävät Pariisin yllä kello 7 aamulla, vaikka todellisuudessa he lentävät Rooman yllä yöllä. Häirintä voi aiheuttaa erilaisia toiminnallisia haasteita lentokoneille ja maajärjestelmille, mutta sillä ei ole ollut vaikutusta lentojen turvallisuuteen. EASA seuraa jatkuvasti ilmiötä ja on valmis antamaan neuvoja kaikille ilmailualan toimijoille, jos on merkkejä siitä, että häirintä saattaa vaikuttaa turvallisuuteen.