Ahogy a világ egyre inkább digitalizálódik és egyre nagyobb mértékben összekapcsolódik, a kiberfenyegetésekkel szembeni kitettség egyre elkerülhetetlenebb. Az információbiztonsági szakértők gyakran mondják, hogy nem az a kérdés, hogy „vajon” egy adott szervezet a kiberbűnözők célkeresztjébe kerül-e, hanem az, hogy „mikor”. A légi közlekedés sem védett az ilyen fenyegetésekkel szemben. Vannak olyan információbiztonsági fenyegetések, amelyek a működés megzavarásához vezethetnek, illetve hatást gyakorolhatnak a repülésbiztonságra.
Az EASA feladata, hogy biztosítsa a biztonságos légi közlekedést Európában (és szerte a világban). Ez kiterjed az információbiztonsági kockázatok csökkentésére is. Az Európai Unió (EU) szabályozási csomagja előírja, hogy a polgári légi közlekedés teljes ökoszisztémájában tevékenykedő szervezeteknek azonosítaniuk, értékelniük és arányosan kezelniük kell az információbiztonsági kockázatokat, majd a polgárok biztonságára gyakorolt káros hatások elkerülése érdekében kontrollálniuk kell azokat. Ez az ökoszisztéma magában foglalja a légi járművek tervezésében, gyártásában, karbantartásában és üzemeltetésében, a képzésben és a biztonságos repülés biztosításához szükséges valamennyi tevékenységben részt vevő szervezeteket.
Melyek a légi közlekedést fenyegető veszélyek, és honnan származnak?
A légi közlekedés „rendszerek rendszere”, amely a repüléstechnikai termékek és a hozzájuk kapcsolódó technológiák mellett embereket, folyamatokat és egyéb immateriális javakat is magában foglal, amelyek viszont sebezhetőek az információbiztonsági fenyegetésekkel szemben.
A különböző rendszerek összetettek és nagymértékben összekapcsolódnak egymással. Számtalan olyan támadási útvonal van, amelyek biztonsági problémát okozhatnak, a légi jármű pedig a védelem utolsó vonala. A légi jármű és a föld közötti (vezeték nélküli vagy nem vezeték nélküli) kapcsolat, bármely karbantartási alkotóelem, bármely ipari rendszer és természetesen az ellátási lánc is potenciális fenyegetéseknek van kitéve. 
Ezek a fenyegetések a légiközlekedési rendszerben részt vevő információkhoz és információs rendszerekhez való jogosulatlan hozzáférésből, azok jogosulatlan felhasználásából, nyilvánosságra hozatalából, megzavarásából, módosításából és/vagy megsemmisítéséből eredő potenciális jogsértéseket jelentenek. Számos támadás gyökere a gondatlanságban vagy az alkalmazottak tájékozatlanságában keresendő.
A fenyegetések különböző felektől származhatnak, beleértve a kiberbűnözés szereplőit, a hacktivistákat, sőt még az államilag támogatott szereplőket is. Az ilyen támadások motivációja lehet pénzügyi, politikai vagy személyes ok, például elismerés vagy sikerélmény.
A légi közlekedés mely ágazatai tűnnek a legvonzóbbnak a rosszindulatú szereplők számára?
Az EASA fenyegetettséggel kapcsolatos hírszerzési csoportja által gyűjtött adatok alapján úgy tűnik, hogy 2024 végén a repülőterek lesznek a kibertámadások legnépszerűbb célpontjai: a légi közlekedés ellen irányuló, regisztrált célzott támadások több mint 50%-a a repülőterek ellen irányul. Ezek többsége túlterheléses támadás, amikor a kiberbűnözők nagy mennyiségű forgalommal terhelik meg a rendszert, hogy az összeomoljon. Ez összefüggésbe hozható a hacktivista tevékenységgel, amelyet gyakran geopolitikai feszültségek táplálnak. Úgy tűnik, hogy a repülőterek elleni támadások nagy láthatóságot biztosítanak az incidenst követő jelentős látható hatás miatt. A repülőtéri kijelzőkön megjelenő járattörlések és a boldogtalan, késő utasok könnyű képi anyagot szolgáltatnak a hírekhez.
Láthatóan a légi járművek üzemeltetői a második legvonzóbb célpontok a rosszindulatú szereplők számára, a támadások mintegy 25%-a légi járművek üzemeltetői ellen irányul. A túlterheléses támadások mellett a légi járművek üzemeltetőit zsarolóvírus-támadások (amikor a kiberbűnözők titkosítják egy szervezet adatait, és váltságdíjat követelnek azok visszafejtéséért), valamint adatvédelmi incidensek is sújtják. A támadások tehát nemcsak a biztonságra, hanem az üzletmenet folytonosságára és a műveletekre is hatással vannak.
A rögzített adatok alapján a többi érintett ágazat a repülőgépgyártók és a karbantartást, javítást és nagyjavítást végző szervezetek, valamint a kormányzati intézmények, amelyek szintén naponta szenvednek el különböző típusú kibertámadásokat.
Mit tesz az EASA annak érdekében, hogy a légi közlekedés reziliensebbé váljon a kibertámadásokkal szemben?
A légi közlekedés terén az EASA kiberbiztonsági megközelítése négy pilléren nyugszik: a repüléstechnikai termékek tanúsításán, a szervezeti információbiztonsági kockázatokon, az információmegosztáson és a kapacitásépítésen.
A repüléstechnikai termékek tanúsítása
Eleinte a kiberbiztonságot ebben az összefüggésben eseti alapon kezelték. A kérelmezőknek (a légi járművek tanúsítását kérő szervezeteknek) fel kellett mérniük, hogy az információbiztonsági fenyegetések milyen hatással lehetnek a légi járművek rendszereinek és hálózatainak biztonságára.
Mivel a légi járművek rendszerei és alkatrészei egyre inkább összekapcsolódnak, több lehetséges támadási útvonal állt rendelkezésre. A veszélyt tehát már nem lehetett eseti alapon kezelni, holisztikus megközelítésre volt szükség.
Ebből a célból az EASA a légi járművek tanúsítására vonatkozóan olyan különleges követelményeket épített be, amelyek előírják, hogy „a repülőgép berendezéseit, rendszereit és hálózatait – külön-külön és más rendszerekkel összefüggésben is – meg kell védeni az olyan szándékos, jogosulatlan elektronikus kölcsönhatásoktól, amelyek káros hatással lehetnek a repülőgép biztonságára”.
Szervezeti információbiztonsági kockázatok
Mivel az információbiztonsági fenyegetések nem csak a légi jármű tervezésére korlátozódnak, hanem emberekre és a folyamatokra is kiterjednek, 2022-ben és 2023-ban új szabálycsomagot tettek közzé, az úgynevezett „IS részt”, ahol az IS az „Information Security” (információbiztonság) rövidítése (ha valaki mélyebbre akar ásni, a szabálycsomag az (EU) 2022/1645 felhatalmazáson alapuló rendeletből és az (EU) 2023/203 végrehajtási rendeletből áll). Az IS rész olyan követelményeket határoz meg, amelyek célja a légiközlekedési rendszer védelme a biztonságot potenciálisan befolyásoló információbiztonsági kockázatokkal szemben. Az IS rész a jóváhagyott szervezetek és hatóságok által polgári repülési célokra használt információs és kommunikációs technológiai rendszerekre és adatokra vonatkozik. Célkitűzésének elérése érdekében az IS rész megköveteli egy információbiztonsági irányítási rendszer létrehozását, bevezetését és fenntartását.
Információmegosztás
A harmadik pillér az információmegosztás, amely jelenleg két különböző irányban folyik. Az Európai Légi Közlekedési Kiberbiztonsági Központ, amely az iparág és a hatóságok érdekelt feleiből áll, valamint a tagállamok képviselőit tömörítő kiberelemzők hálózata. Ezek olyan közösségek, amelyekben a részt vevő szervezetek között bizalom alakult ki, ami lehetővé teszi számukra a tudás – például fenyegetettséggel kapcsolatos hírszerzési információkat összefoglaló jelentések, a lehetséges fenyegetettségekre vonatkozó figyelmeztetések és az incidensek elemzésébe nyújtott betekintések – megosztását, valamint a tagok közötti együttműködés előmozdítását.
Kapacitásépítés
Végül, de nem utolsósorban a kapacitásépítési tevékenységek is fontos részét képezik az EASA kiberbiztonsági megközelítésének. A technológiai fejlődés gyors ütemét figyelembe véve fontos, hogy az EASA kiberbiztonsági csoportja naprakész maradjon. Ezért a képzés a csoport tevékenységének fontos elemét képezi, ahogy a kutatás is, amely kulcsszerepet játszik a jövőbeli fenyegetések megértésében és a kiberbiztonsági fenyegetésekkel szembeni proaktív hozzáállásban.
Horizont Európa kutatási projekt: CYBER – A légi közlekedés rezilienciája és kiberbiztonsági fenyegetettségi környezet
2024-ben az EASA kutatási projektet indított a légi közlekedés kiberrezilienciájáról és a kiberbiztonsági fenyegetettségi környezetről. A projekt célja a repülési műveletek biztonságára potenciálisan negatív hatást gyakorló kiberbiztonsági fenyegetések azonosítása. Az EASA célja, hogy e tudás birtokában hozzájáruljon egy erősebb és reziliensebb légiközlekedési rendszer kiépítéséhez a jövő számára.
EASA kiberbiztonsági közösség
Ha követni szeretné a fenti tevékenységeket, az EASA létrehozta a kiberbiztonsági közösséget, ahol információkat osztunk meg a légi közlekedés kiberbiztonságával kapcsolatos legkülönbözőbb témákról. Legyen szó akár lelkes érdeklődőkről, akár a terület szakértőiről, mindenkit örömmel látunk a fedélzeten, hogy eszmecserét folytassunk a légi közlekedés területét érintő kiberbiztonság számos érdekes témájáról.
Néhány megjegyzés a GNSS-interferenciáról: zavarás és a jelek hamisítása (spoofing)
2022 februárja óta jelentősen megnőtt a globális navigációs műholdrendszer (GNSS) zavarása és a műholdas jelek hamisítása, különösen a konfliktusövezeteket és más érzékeny területeket, például a Földközi-tengert, a Fekete-tengert, a Közel-Keletet a Balti-tengert és az Északi-sarkvidéket övező régiókban. Talán még híreket is látott róla. Ezek az incidensek szintén a légi közlekedés kiberbiztonságának körébe tartoznak.
A zavarás olyan szándékos rádiófrekvenciás zavarást jelent, amely megakadályozza, hogy a GNSS-vevőkészülékek rákapcsolódjanak a műholdas jelekre, és ezáltal a rendszer hatástalanná válik, vagy gyengül. A jelek hamisítása (spoofing) a GNSS-vevőkészülékek megtévesztésére szolgáló hamisított műholdjelek sugárzását jelenti, ami helytelen pozíció-, navigációs és időzítési adatokat eredményez. Így a rendszer azt mondhatja a pilótáknak, hogy Párizs felett repülnek reggel 7 órakor, miközben a valóságban Róma felett repülnek éjszaka. Ezek az interferenciák különböző üzemeltetési kihívásokhoz vezethetnek a légi járművek és a földi rendszerek számára, de a járatok biztonságát nem befolyásolják. Az EASA folyamatosan figyelemmel kíséri a jelenséget, hogy készen álljon tanácsokkal ellátni a légi közlekedés valamennyi szereplőjét, amennyiben arra utaló jeleket lát, hogy sérülhet a biztonság.