Kun sääntelyviranomaiset edellyttävät liiketoiminnan sietokykyä, mitä muut voivat oppia Heathrow'n ja sen eurooppalaisten lentoyhtiöiden toimittajaan kohdistuneesta kyberhyökkäyksestä?

Syyskuussa kyberhyökkäys Ohjelmistotoimittaja Collins Aerospacen hyökkäys johti pitkiin viivästyksiin useilla Euroopan lentokentillä, mukaan lukien Lontoon Heathrow'lla. vaikutti Collinsin Muse-matkustajien käsittelyohjelmisto, jota lentoyhtiöt käyttävät lentokenttien online-lähtöselvitys- ja matkatavarajärjestelmien hallintaan.

Tuolloin monet otsikot keskittyivät häiriöihin ja matkustajien turhautumiseen, mutta ehkä mielenkiintoisempaa on se, että Heathrow'n toiminta ei pysähtynyt täysin. Lentokenttä jatkoi toimintaansa, vaikkakin heikentyneessä tilassa, ennen onnettomuutta käytössä olleiden varamenettelyjen ansiosta.

Tämä tapahtuu aikana, jolloin kyberhyökkäysten riski kasvaa räjähdysmäisesti. Ilmailualalla kiristyshaittaohjelmahyökkäysten määrä on kasvanut 600 prosenttia vuodessa. Thales.

Ottaen huomioon tällaiset luvut, hallitukset ja sääntelyviranomaiset valmistautuvat tulevaisuuteen, jossa kyberhyökkäysten estäminen ei ole mahdollista. On paljon tärkeämpää, että organisaatiot pystyvät pitämään toimintansa käynnissä, kun niitä tapahtuu.

Kun sääntelyviranomaiset edellyttävät liiketoiminnan sietokykyä, mitä muut voivat oppia Heathrow'n ja sen eurooppalaisten lentoyhtiöiden kyberhyökkäyksestä?

Häiriön ja katastrofin välinen raja

Lentokentän toiminta auttoi sitä jatkamaan toimintaa hyökkäyksen aikanakin. Heathrow’n kunniaksi on sanottava, että se keskittyi pitämään yllä olennaisia ​​toimintoja, vaikka sen ydintoiminnot hidastuivat ja aiheuttivat näkyviä häiriöitä, sanoo Becky White, Harper Jamesin tietosuoja- ja yksityisyystiimin vanhempi lakimies.

”Turvallisen matkustamisen ylläpitäminen oli etusijalla sujuvan matkustajakokemuksen säilyttämisen sijaan”, hän kertoo IO:lle. ”Siirtymällä ennalta suunniteltuihin manuaalisiin prosesseihin ja erottamalla kriittiset järjestelmät niistä, joihin tilanne vaikutti, he pystyivät vaimentamaan shokin sen sijaan, että olisivat romahtaneet sen alle.”

Katastrofi olisi tarkoittanut lentoliikenteen ja matkustajien käsittelyn täydellistä pysähtymistä, kun taas häiriöt olisivat tarkoittaneet jonoja, viivästyksiä ja kiertoteitä. White huomauttaa, että Heathrow oli "selvästi investoinut varamenettelyihin, jotka eivät perustuneet täydellisiin olosuhteisiin". "Kun järjestelmät pettivät, henkilökunta tiesi, miltä 'riittävän hyvä pysyä auki' näytti, ja he toimivat sen mukaisesti."

Oppimista muille sektoreille

Muidenkin tulisi ottaa tämä huomioon, erityisesti kriittisillä aloilla toimivien, joilla seisokkiajat eivät ole vaihtoehto. Ilmailun lisäksi esimerkiksi terveydenhuollon, energian, rahoituksen tai vähittäiskaupan kaltaisilla aloilla, joilla on ollut omat seisokkinsa. hyökkäysten sarja – Heathrow'n esimerkki osoittaa, miten resilienssillä voi olla ratkaiseva merkitys.

Kyse on siitä, että varmistetaan kriittisten tietojen nopea palauttaminen, järjestelmien turvallinen ennallistaminen ja toiminnan jatkuminen – jopa silloin, kun ensisijainen ympäristö on offline-tilassa, sanoo Anthony Cusimano, Object Firstin johtaja. ”Nämä sektorit ovat erittäin riippuvaisia ​​keskeytymättömästä pääsystä tietoihin ja operatiivisiin järjestelmiin, ja jopa lyhyillä käyttökatkoksilla voi olla ketjureaktioseurauksia.”

Kriittisiä toimialoja arvioidaan yhä useammin niiden kyvyn perusteella toimia ”heikentyneessä tilassa” sen sijaan, että vältetään häiriöt kokonaan, White sanoo. ”Heathrow osoitti, että liiketoiminnan jatkuvuuden ei tarvitse olla täydellistä. Kyse on ennakoinnista, harjoittelusta ja kyvystä priorisoida asioita, joiden on jatkuttava.”

Piilotettu kysymys

Heathrow’n lähestymistavasta oppien jokaisen hallituksen tulisi miettiä, kuinka kauan se voisi jatkaa toimintaansa, jos sen ydinjärjestelmät menisivät pois toiminnasta, sanoo Sean Tilley, 11:11 Systemsin EMEA-alueen vanhempi myyntijohtaja.

Silti hän viittaa "epämiellyttävään totuuteen": Monet organisaatiot eivät ole tehneet tätä skenaariota täysin stressitestattuina, ja liiketoiminnan jatkuvuuden harjoitukset ovat usein "teoreettisia tai siiloutuneita".

Useimmat organisaatiot olettavat hiljaa, että ne pystyisivät selviytymään ”jonkin aikaa” ilman ydinjärjestelmää, mutta hyvin harvat ovat testanneet, kuinka kauan tämä todellisuudessa kestää, White sanoo. ”Rehellinen kysymys ei ole, onko toipuminen mahdollista, vaan kuinka kauan yritys voisi toimia ilman keskeisiä alustojaan – ja mitä kustannuksia se aiheuttaisi asiakkaille, turvallisuudelle tai vaatimustenmukaisuudelle.”

Ottaen tämän huomioon organisaatioiden tulisi käsitellä Heathrow'n onnettomuutta "resilienssisuunnittelun tapaustutkimuksena", sanoo Ken Prole, Black Duckin ohjelmistokehityksen johtaja. Hän huomauttaa, että häiriöt eivät johdu pelkästään kyberhyökkäyksistä: ne voivat johtua myös odottamattomista tapahtumista, kuten CrowdStrike-tapaus joka kaatoi järjestelmiä maailmanlaajuisesti vuonna 2024.

Tällaisten seisokkien vaikutukset mielessä pitäen hän korostaa kysymyksiä, jotka tulisi esittää. Prole esimerkiksi sanoo: ”Oletteko tunnistaneet kaikki kriittiset riippuvuudet toiminnoissanne ja laatineet perusteellisen uhkamallin? Onko teillä dokumentoitu toimintasuunnitelma, jossa esitetään toimenpiteet, joihin on ryhdyttävä, kun yksi tai useampi riippuvuus vaarantuu?”

Tuleva asetus

Tarve operatiiviselle selviytymiskyvylle hyökkäysten aikana on keskeinen osa useita säännöksiä. Isossa-Britanniassa ja EU:ssa on olemassa puitteita, kuten verkko- ja tietojärjestelmät (NIS2-direktiivi) Digital Operational Resilience Act (DORA) ja Iso-Britannia Kyberturvallisuutta ja kestävyyttä koskeva lakiesitys priorisoida toiminnan jatkuvuutta tapahtuman jälkeen.

”Vaatimustenmukaisuus edellyttää organisaatioilta yhä enemmän selviytymiskyvyn osoittamista mittareiden, auditointien ja testattujen palautumiskykyjen avulla”, Tilley sanoo.

Samaan aikaan, ISO / IEC 27001 asettaa perustason tietoturvallisuuden hallintajärjestelmille, mukaan lukien dokumentoidut häiriötilanteisiin reagointisuunnitelmat (A.5.29), liiketoiminnan jatkuvuuden huomioon ottaminen (A.5.30) ja suunnitelmien säännöllinen testaus.

Tällaiset standardit painottavat skenaariopohjaista testausta realistisissa olosuhteissa, jotta organisaatiot voivat Prolen mukaan "validoida suunnitelmiaan, tunnistaa aukkoja ja rakentaa luottamusta kykyynsä reagoida tehokkaasti".

Toinen hyödyllinen resurssi on NIST-verkkoturvallisuuskehys (CSF), joka sisältää viisi ydintoimintoa: ”tunnistaminen, suojaaminen, havaitseminen, reagoiminen ja palauttaminen”.

Erityisesti Isossa-Britanniassa, Kansallisen kyberturvallisuuskeskuksen kyberturvallisuusarviointikehys (CAF) on työkalu välttämättömille palveluille ja kriittiselle kansalliselle infrastruktuurille.

Hallitustason vastuu

Resilienssi on nyt vaatimustenmukaisuusvaatimus, eikä syyttä. Ennaltaehkäisy on edelleen elintärkeää, mutta suurempi testi on se, miten organisaatiot jatkavat toimintaansa pahimman tapahtuessa. Heathrow on käytännönläheinen muistutus siitä, että resilienssi – testattuna, harjoiteltuna ja juurrutettuna – on yhtä lailla vaatimustenmukaisuusvaatimus kuin tietoturvan tae.

White huomauttaa, että tämän on tärkeää pohtia hallitustasolla, jolla on nyt vastuu sekä resilienssistä että turvallisuudesta. Hän ajattelee, että yritysten on "määriteltävä, mikä seisokkiajan taso on siedettävä", ymmärrettävä toiminnalliset riippuvuutensa ja "varmistettava investoinnit realistiseen jatkuvuussuunnitteluun".

Samaan aikaan tarvitaan säännöllisiä arviointeja, jotta voidaan sopeutua teknologian, sääntelyn ja toimitusketjujen muutoksiin, White sanoo. ”Resilienssin tulisi kulkea rinnakkain taloudellisten ja oikeudellisten riskien kanssa hallitustasolla, ja raportointivelvollisuuksien ja vastuuvelvollisuuden tulisi olla selkeät. Sääntelyviranomaisten ja sidosryhmien odotus on, että yritykset pystyvät osoittamaan valmiutta, eivätkä pelkästään aikomusta. Jos hallitus kohtaa suunnitelman vasta todellisen tapahtuman aikana, organisaatio on jo menettänyt narratiivin hallinnan.”