O Canadian Centre for Cyber Security (o Cyber Centre) publicou "The cyber threat to aviation", uma avaliação não classificada das ameaças cibernéticas ao setor de aviação do Canadá. O documento integra uma série de avaliações de ameaças cibernéticas voltadas à infraestrutura crítica do país. Ele traz a marcação Unclassified//TLP:CLEAR, que o Cyber Centre descreve como aplicável quando a informação apresenta risco mínimo ou nenhum risco previsível de uso indevido. Em termos práticos: é possível encaminhar o documento, imprimi-lo e apresentá-lo ao conselho de administração sem precisar de autorização de ninguém, respeitadas as regras padrão de direitos autorais.

A avaliação completa está disponível no site do Cyber Centre em cyber.gc.ca.

O Cyber Centre indica três públicos-alvo para o relatório:

• líderes do setor de aviação
• profissionais de cibersegurança responsáveis por proteger infraestruturas de aviação
• leitores em geral com interesse em segurança cibernética no setor de aviação

É uma rede bastante ampla. Um único documento precisa atender ao CISO de uma companhia aérea, ao engenheiro responsável pelos sistemas de um aeroporto e a alguém que simplesmente viaja com frequência e acompanha as notícias. Os leitores do segundo grupo devem calibrar suas expectativas em conformidade.

O que a avaliação não contém é orientação técnica de mitigação. O próprio documento afirma isso de forma direta: para orientações sobre mitigação técnica das ameaças, os leitores são instruídos a contatar o Cyber Centre. O contato publicado para dúvidas ou questões de acompanhamento é contact@cyber.gc.ca. Um relatório de ameaças não classificado que termina com "ligue para nós para saber a solução" lembra um detector de fumaça que apita e então exibe um número de telefone. O apito ainda é útil. É a parte que a maioria das organizações nunca recebe.

Sobre metodologia, o Cyber Centre declara que seus julgamentos-chave se baseiam em informações provenientes de múltiplas fontes, classificadas e não classificadas, e que os julgamentos partem do próprio conhecimento e expertise do Cyber Centre em cibersegurança. Dois fatores alimentam essa expertise, segundo o documento. Primeiro, o Cyber Centre defende os sistemas de informação do Governo do Canadá, o que descreve como conferindo uma perspectiva única sobre as tendências no ambiente de ameaças cibernéticas. Segundo, o mandato de inteligência estrangeira do Communications Security Establishment Canada fornece o que o Cyber Centre chama de visão valiosa sobre o comportamento de adversários no ciberespaço.

Essa combinação é relevante. A maioria das inteligências de ameaças que chega à mesa de uma equipe de segurança vem de fornecedores que têm um produto para vender ao final do PDF. Esta avaliação parte de um órgão que monitora redes governamentais e tem acesso a inteligência estrangeira, e que divulga gratuitamente as conclusões tratadas. Você não terá acesso às fontes classificadas. Você terá julgamentos moldados por elas. Para um setor em que o lado operacional roda em sistemas que não foram projetados com redes hostis em mente, esse é um ponto de partida melhor do que a maioria.

O que este relatório ainda não abrange é o conteúdo desses julgamentos-chave. A parte da avaliação analisada para este artigo descreve o propósito do documento, seu público, classificação, detalhes de contato e base da avaliação. Ela não inclui os atores de ameaça nominados, padrões específicos de ataque nem quaisquer dados que o Cyber Centre possa apresentar no corpo do relatório. Os leitores não devem inferir nada sobre as conclusões a partir apenas deste resumo, e esta publicação não vai preencher a lacuna com especulações. Leia o documento completo. Ele é TLP:CLEAR por uma razão.

A avaliação também não estabelece nenhuma obrigação regulatória, prazo ou penalidade. Trata-se de uma avaliação de ameaças, não de um instrumento de conformidade. Operadores de aviação que buscam controles obrigatórios precisarão consultar seus reguladores competentes. O que o Cyber Centre oferece aqui é um panorama de quem pode estar se aproximando e por quê, além de uma porta aberta para solicitar ajuda com o como.

Equipes de identidade e segurança em companhias aéreas, aeroportos, prestadores de navegação aérea e organizações de manutenção devem começar lendo a avaliação na íntegra e mapeando seu público e escopo em relação ao próprio ambiente. Em seguida, realize um inventário de todas as contas, humanas ou de serviço, com acesso a sistemas operacionais e de segurança, e confirme que o acesso remoto e de terceiros a esses sistemas está protegido por MFA sem nenhum privilégio permanente deixado de engajamentos anteriores com fornecedores. Por fim, leve a sério o que o Cyber Centre diz: se a orientação de mitigação não está no documento, envie um e-mail para contact@cyber.gc.ca e solicite, porque uma avaliação de ameaças gratuita que nunca gera acompanhamento é apenas uma história bem fundamentada para se ler antes de dormir.