El Centro Canadiense para la Ciberseguridad (el Centro Cibernético) ha publicado "La ciberamenaza a la aviación", una evaluación no clasificada de las ciberamenazas que enfrenta el sector de la aviación de Canadá. El documento forma parte de una serie de evaluaciones de ciberamenazas centradas en las infraestructuras críticas del país. Lleva la marcación Unclassified//TLP:CLEAR, que el Centro Cibernético explica que se utiliza cuando la información conlleva un riesgo mínimo o nulo de uso indebido previsible. En términos sencillos: puede reenviarlo, imprimirlo y presentarlo ante su junta directiva sin pedir permiso a nadie, con sujeción a las normas de derechos de autor habituales.

La evaluación completa está disponible en el Centro Cibernético en cyber.gc.ca.

El Centro Cibernético identifica tres audiencias previstas para el informe:

• líderes del sector de la aviación
• profesionales de la ciberseguridad encargados de proteger infraestructuras aeronáuticas
• el lector general con interés en la ciberseguridad del sector de la aviación

Esa es una red muy amplia. Se le pide a un solo documento que sirva al mismo tiempo a un CISO de una aerolínea, a un ingeniero responsable de los sistemas de un aeropuerto y a alguien que simplemente viaja mucho y lee las noticias. Los lectores del segundo grupo deben ajustar sus expectativas en consecuencia.

Lo que la evaluación no contiene es orientación técnica sobre mitigación. El propio documento lo indica expresamente: para recibir orientación sobre la mitigación técnica de estas amenazas, se remite a los lectores al Centro Cibernético. El contacto publicado para consultas o incidencias de seguimiento es contact@cyber.gc.ca. Un informe de amenazas no clasificado que concluye con un "llámenos para la solución" se parece un poco a un detector de humo que suena y luego le entrega un número de teléfono. La señal acústica sigue siendo útil. Es la parte que la mayoría de las organizaciones nunca llega a recibir.

En cuanto a la metodología, el Centro Cibernético señala que sus juicios clave se basan en información procedente de múltiples fuentes, tanto clasificadas como no clasificadas, y que dichos juicios se fundamentan en el propio conocimiento y la experiencia del Centro Cibernético en ciberseguridad. Según el documento, esa experiencia se nutre de dos elementos. En primer lugar, el Centro Cibernético defiende los sistemas de información del Gobierno de Canadá, lo que describe como una perspectiva única sobre las tendencias del entorno de ciberamenazas. En segundo lugar, el mandato de inteligencia exterior del Communications Security Establishment Canada proporciona lo que el Centro Cibernético denomina una valiosa visión del comportamiento de los adversarios en el ciberespacio.

Esa combinación es relevante. La mayor parte de la inteligencia de amenazas que llega al escritorio de un equipo de seguridad proviene de proveedores que tienen un producto que vender al final del PDF. Esta evaluación procede de un organismo que monitorea redes gubernamentales y tiene acceso a inteligencia exterior, y publica las conclusiones depuradas de forma gratuita. No se obtendrán las fuentes clasificadas, pero sí los juicios moldeados por ellas. Para un sector cuyo lado operativo funciona con sistemas que no fueron diseñados pensando en redes hostiles, ese es un punto de partida mejor que la mayoría.

Lo que este informe aún no cubre es el contenido de esos juicios clave. La parte de la evaluación analizada para este artículo describe el propósito del documento, su audiencia, clasificación, datos de contacto y base de evaluación. No incluye los actores de amenaza identificados, los patrones de ataque específicos ni las cifras que el Centro Cibernético pueda presentar en el cuerpo del informe. Los lectores no deben extraer ninguna conclusión sobre los hallazgos a partir únicamente de este resumen, y esta publicación no va a rellenar ese vacío con suposiciones. Vaya a leer el documento completo. Lleva la marcación TLP:CLEAR por alguna razón.

La evaluación tampoco establece ninguna obligación regulatoria, plazo ni sanción. Es una evaluación de amenazas, no un instrumento de cumplimiento normativo. Los operadores aeronáuticos que busquen controles obligatorios deberán acudir a sus reguladores competentes. Lo que el Centro Cibernético ofrece aquí es un panorama de quién podría estar aproximándose y por qué, además de una puerta abierta para solicitar ayuda con el cómo.

Los equipos de identidad y seguridad de aerolíneas, aeropuertos, proveedores de navegación aérea y organizaciones de mantenimiento deberían comenzar por leer la evaluación completa y comparar su audiencia y alcance con su propio entorno. A continuación, deben realizar un inventario de cada cuenta, humana o de servicio, que pueda acceder a los sistemas operativos y de seguridad, y confirmar que el acceso remoto y de terceros a esos sistemas está protegido mediante autenticación multifactor sin privilegios permanentes heredados del último compromiso con proveedores. Por último, tome al Centro Cibernético en su palabra: si la orientación sobre mitigación no está en el documento, envíe un correo electrónico a contact@cyber.gc.ca y solicítela, porque una evaluación de amenazas gratuita que nunca se sigue es simplemente una historia para dormir muy bien documentada.