Bu net güvenlik röportajında, Carrie Mills, VP ve CISO, Southwest Airlines havacılık endüstrisinin karşılaştığı siber güvenlik zorluklarından bahsediyor. Kritik altyapının, büyük bir tüketici markasının ve bir havayolunun nasıl bir parçası olmanın kendi güvenlik sorunlarını nasıl getirdiğini açıklıyor.
Şu anda havacılık endüstrisiyle karşı karşıya olan en acil siber tehditler nelerdir?
Southwest sadece bir havayolu değil, aynı zamanda tanınmış bir tüketici markası ve ABD kritik altyapı sektörünün bir parçasıdır. Sadece bu özelliklerden herhangi biri benzersiz siber zorluklar sunacak ve üçün kombinasyonu giderek karmaşıklaşan ve dinamik bir tehdit manzarasını sağlayacaktır. Bu nedenle, beklenmedik olanı beklemeliyiz ve bir an önce dönmeye hazır olmalıyız.
Son zamanlarda, operasyonel teknolojinin siber güvenliğinin önemi üzerine bir spot ışığı parlamaya başladı. Müşterilerimizin destinasyonlarına güvenli bir şekilde ulaşmasını sağlamak için yorulmadan çalışan endüstrinin ilk özel siber güvenlik uçak takımlarından birini oluşturduk.
Havacılıkta uydu tabanlı iletişim ve bulut benimsemesinin yükselişi göz önüne alındığında, hangi benzersiz güvenlik zorluklarını tanıtıyorlar?
Yüksek düzeyde, uydu tabanlı iletişim veya bulut benimsemesinin getirdiği havacılık endüstrisine özgü zorluklar gerekmez; Birden fazla endüstri bu zorlukları paylaşmaktadır. Bu ortamları güvence altına almak için ortak bir sorumluluk getirir. Sorumluluk artık çevrenin farklı bölümlerinin bütün olarak güvenli olduğundan emin olmak için birden fazla paydaş arasında paylaşılmaktadır. Söylediğimizi ve sözleşmeye bağlı olarak ne yapmak zorunda olduğumuza güvenmeliyiz.
Ayrıca, tüm üsleri kapsamak için şirket ve üçüncü tarafları için çok yönlü bir güvenlik programı uygulanmalıdır, bu nedenle aynı güvenlik kavramlarının tümü hala geçerlidir. Bu nedenle, olgun bir güvenlik duruşu geliştirmek için güvenliği ölçmek ve sürekli iyileştirmek için bir yaklaşım şarttır.
Havacılıktaki siber risklerin azaltılmasında mevcut düzenlemeler ve siber güvenlik standartları (örn. ICAO, EASA, FAA, IATA) ne kadar etkilidir?
Standart belirleme organizasyonları, siber güvenliği bir endüstri olarak hizalamaya çalıştığımız için önemlidir. Siber olay raporlaması söz konusu olduğunda, üst üste binme veya boşluklarla düzenlemeler ve standartlar ve tekdüzelik arasında parçalanma ile uğraşırken hala bazı zorluklarla karşılaşıyoruz.
Katılımlı paydaşlar en iyi şekilde etkili düzenlemeleri ve standartları bilgilendirir ve Southwest havacılık topluluğunda aktiftir. Örnek olarak, bu yılın başlarında Uluslararası Hava Taşımacılığı Derneği’ne (IATA) katıldık, bu da sektörümüzün politikalarını ve prosedürlerini şekillendirmede sesimizi artırmaya yardımcı oluyor. Southwest’in Baş Bilgi Güvenlik Görevlisi ayrıca Havacılık Bilgi Paylaşımı ve Analiz Merkezi (A-ISAC) kurulunda görev yapmaktadır ve Amerika Havayolları (A4A) Siber Güvenlik Komitesi Başkan Yardımcısıdır.
Havacılığa özgü olmasa da, Southwest, siber güvenlik risklerini ve tesislerimiz, havaalanlarımız ve uçaklarımız üzerindeki etkileri azaltmak için risk temelli bir yaklaşım sağlayan Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) Siber Güvenlik Çerçevesi’ni (CSF) kullanır.
Havacılık şirketleri, aksamaları azaltmak için siber esnekliklerini ve yanıt sürelerini nasıl geliştirebilir?
Siber güvenlik ekibimiz, uygulama ve test gerektiren temellerde harika olduğuna inanıyor. Pilotlar simülatörlerde antrenman yaparken, uygulama esnekliğimizi ve olay müdahale planlarımızı düzenli olarak test ederek çeşitli etkinliklere yanıt vermeyi uyguluyoruz. Bu simülasyonlar ve testler, daha önce farkında olmadığımız olası boşlukları ve bağımlılıkları belirlemeye yardımcı olarak bizi her türlü senaryo için hazırlar. Bir uygulamanın esnek olduğunu düşünseniz bile, siber esneklik egzersizinin sonuçlarına şaşırabilirsiniz.
Doğruluk için belgelerin güncellenmesini ve sık sık gözden geçirilmesini sağlamak da anahtardır. En göz alıcı iş olmasa da, gelecekte ekibinize yardımcı olmak için şimdi yapabileceğiniz en kolay şeylerden biri.
Havacılık sektöründeki cisos ve güvenlik ekipleri bugün savunmalarını güçlendirmek için öncelik vermelidir?
Siber güvenlik programımızın başarısının önemli bir parçası, genellikle ilk savunma hattı oldukları için çalışanların farkındalığı, katılım ve hazırlığıdır. Southwest Siber Güvenlik Farkındalık Programımız, günlerini bir bilgisayarın arkasında ister havada geçirseler de çalışanlarla bir diyalog kurmaya yardımcı olur. Siber güvenliği insancıllaştırmak ve yorgunluğu azaltmak için şirket genelindeki ekiplerle ilişkiler kurmak için çok çalışıyoruz.
Bilgi paylaşımı da başarımız için çok önemlidir. Havacılık ve siber güvenlik topluluklarında, satıcılar ve diğer havayolları gibi akranlarla güçlü ortaklıklar ve ilişkiler kuruyoruz. Airlines for America (A4A) ve Havacılık Bilgi Paylaşımı ve Analiz Merkezi (A-ISAC) gibi aktif bir kuruluş üyesi olarak, endüstri siber güvenliğini korumak için işbirliği yapabiliriz.