enITma, empresa especializada en el desarrollo de soluciones de software y servicios de tecnologías de información global para la industria aérea, comparte con América Vuela el siguiente artículo.

FORTALECIENDO LA CIBERSEGURIDAD AÉREA: REDUCIENDO RIESGOS CON LA CERTIFICACIÓN ISO 27001

La industria aérea vive una transformación sin precedentes impulsada por las tecnologías digitales. Aeropuertos y aerolíneas están adoptando una variedad de innovaciones tecnológicas para mejorar la eficiencia operativa, la experiencia del pasajero y la seguridad en los vuelos. Sin embargo, esta creciente dependencia de la tecnología también trae consigo desafíos de consideración, especialmente en cuanto a la seguridad de la información en aerolíneas y aeropuertos.

Tan solo en el primer semestre de 2023, los ciberataques en la industria de la aviación aumentaron un 24% a nivel mundial. Además, un informe realizado por la Organización Europea para la Seguridad de la Navegación Aérea (Eurocontrol) reveló que los tipos de ciberataques más comunes, en años recientes, son las violaciones de datos (18.6%), solo precedidas por los ataques de ransomware (22%), lo que pone de manifiesto la necesidad de fuertes medidas para la gestión de la seguridad de la información para proteger los datos de aeropuertos y aerolíneas, así como de sus clientes y socios.

Industria aérea, cada vez más dependiente de las tecnologías digitales

La transformación digital del sector ha hecho que las operaciones aéreas modernas dependan cada vez más de los sistemas digitales avanzados. Desde la gestión del tráfico aéreo y la optimización de rutas hasta el check-in automatizado y el seguimiento de equipajes en tiempo real, las tecnologías digitales como la inteligencia artificial, big data, internet de las cosas (IoT) y cloud computing, ahora están presentes en prácticamente todas las facetas de la aeronavegación.

Esto ha llevado a la ciberseguridad a un lugar primordial, ya que los sistemas digitales en la aviación son un blanco atractivo para los cibercriminales, que pueden intentar acceder a información sensible, interrumpir operaciones o, incluso, comprometer la seguridad de los vuelos.

“Las innovaciones tecnológicas permiten a las aerolíneas ofrecer servicios más rápidos y eficientes, reducir costos y mejorar la experiencia del usuario; pero los sistemas detrás de estas innovaciones deben protegerse contra amenazas como ataques cibernéticos, filtraciones de datos y errores humanos. Por estas razones, la industria de la aviación requiere de proveedores de soluciones de TI que cuenten con certificaciones como la ISO 27001”, señala Enrique Mendoza, director general de enITma.

Y es que un ataque cibernético exitoso puede tener consecuencias devastadoras, desde la pérdida de datos personales de los pasajeros hasta la interrupción de los sistemas de control del tráfico aéreo. Por ello, es necesaria la implementación de medidas robustas de ciberseguridad para proteger tanto a los pasajeros como a la infraestructura crítica de la aviación.

Certificación ISO 27001: Confianza en proveedores avalados

Dado que empresas como aerolíneas y aeropuertos dependen de sistemas y servicios de tecnología proporcionados por terceros, es vital que estos proveedores cumplan con estándares internacionales de seguridad. Es por lo anterior que existe la certificación ISO 27001, norma internacional fundamental en este aspecto, ya que establece los requisitos para la gestión de seguridad de la información (SGSI).

La ISO 27001 proporciona un marco para gestionar la seguridad de la información de manera sistemática, abordando aspectos como la confidencialidad, integridad y disponibilidad de los datos.

Las organizaciones que obtienen esta certificación demuestran su compromiso con la protección de la información y la implementación de controles de seguridad eficaces.

Con base en su experiencia en el sector aéreo, enITma, cuya tecnología cumple con los estándares regulatorios relacionados con la seguridad, señala algunos beneficios de trabajar con proveedores de tecnología avalados con la certificación ISO 27001.

1. Mejora de la seguridad de la información

Un proveedor con la certificación ISO 27001 demuestra su compromiso con la implementación de tecnología que considera una gestión de seguridad robusta y efectiva. Para las empresas aéreas y aeropuertos, esto significa que la información crítica, como datos de pasajeros, itinerarios de vuelo y operaciones internas, está protegida contra amenazas cibernéticas y accesos no autorizados.

2. Cumplimiento regulatorio

La industria aérea está sujeta a estrictas regulaciones de seguridad y protección de datos, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México) y el Reglamento General de Protección de Datos (GDPR) en Europa. Otro de los beneficios de colaborar con un proveedor certificado en ISO 27001, es la posibilidad de ayudar a las aerolíneas a cumplir con estos requisitos legales y evitar sanciones costosas.

3. Reducción de riesgos

El enfoque sistemático de ISO 27001 para la gestión de riesgos permite a las empresas identificar, evaluar y mitigar posibles amenazas de seguridad de manera proactiva. Un proveedor certificado está mejor preparado para manejar incidentes de seguridad, lo que reduce la probabilidad de interrupciones en las operaciones aéreas y minimiza el impacto de cualquier brecha de seguridad.

4. Mayor confianza y credibilidad

Trabajar con proveedores avalados aumenta la confianza de los clientes, socios comerciales y otras partes interesadas en la seguridad de las aerolíneas.

5. Mejora continua

ISO 27001 no es una certificación estática; requiere un proceso continuo de revisión y mejora de las políticas y procedimientos de seguridad. Un proveedor de TI certificado está comprometido con la mejora continua, lo que garantiza que sus aplicaciones de software para aerolíneas evolucionen para enfrentar nuevas amenazas y desafíos tecnológicos.

6. Generación de una ventaja competitiva

En un mercado tan competitivo como el de la aviación, la certificación ISO 27001 puede diferenciar a una empresa aérea de sus competidores, destacándola como una organización comprometida con la seguridad y la calidad. Esto puede ser un factor decisivo para los clientes que valoran la seguridad y la protección de sus datos personales.

Es innegable que la seguridad de la información es un factor primordial para la rentabilidad de las aerolíneas, por lo que asociarse con proveedores de TI certificados en ISO 27001, garantiza que sus datos están en manos expertas y que se implementan las mejores prácticas para protegerlos.

Respecto a lo anterior, el presidente y CEO de enITma, Enrique Mendoza Arce, destacado líder en la industria de la tecnología y con amplia experiencia en la materia, brindó a la siguiente entrevista con la finalidad de nutrir la información planteada en el presente artículo.

• ¿Cuáles son las principales soluciones que enITma ofrece a los operadores y empresas del sector aéreo en México?

Uno de nuestros principales rubros ofrece soluciones tecnológicas para el área financiera, de hecho, tenemos uno de los sistemas financieros más sólidos y completos de la industria. Un sistema que podríamos decir único, ya que hace la conciliación financiera y la facturación electrónica, y por el cual corre aproximadamente el 75% de los ingresos de las aerolíneas nacionales. Lo anterior implica que estamos obligados a tener una certificación en la ISO 27001 para la gestión de la seguridad de esta delicada información.

Otro de nuestras soluciones es para el área de operaciones, contamos con aplicaciones para tripulaciones (pilotos y sobrecargos) donde les ofrecemos una plataforma para gestionar sus funciones, a través de un dispositivo móvil. Por ejemplo, esta app les permite ver sus itinerarios, pernoctas, viáticos, permisos, etc.

Es importante señalar que nuestros servicios, además de estar respaldados por la ISO 27001 también contamos con certificación en la norma ISO 20000, estándar de calidad que garantiza que los sistemas de gestión y soporte de TI (Tecnologías de la Información), que le brinda la certeza a nuestros clientes de que tenemos un sistema integral de gestión de la información.

• ¿Qué desafíos ha enfrentado su empresa en la implementación de medidas de ciberseguridad y cómo los ha superado?

Nosotros como empresa de software tenemos que estar certificados por la norma 27001 y otras certificaciones sobre desarrollo de software, por lo que estamos obligados a seguir varios lineamientos para entregar productos de con código seguro. Esto implica realizar pruebas extensivas de vulnerabilidad, o sea, nosotros antes de liberar un producto ya hemos realizado muchas pruebas, no sólo de la funcionalidad sino también simulando ataques. Incluso contemplamos los peores escenarios donde se deba ejecutar un plan de recuperación ante desastres (DRP, por sus siglas en inglés).

• ¿Cuál es su opinión respecto a la reciente falla sufrida en los sistemas de Microsoft, consecuencia de una actualización defectuosa de la plataforma de seguridad “CrowdStrike”, que provocó diferentes fallas, pantallas azules y pánico en diferentes compañías e instituciones a nivel mundial? y ¿cómo enITma podría llegar a ser un actor clave para amortiguar el impacto de estas afectaciones?

Afortunadamente, a nosotros no nos afectó directamente, aunque indirectamente tuvimos situaciones principalmente por parte de los aeropuertos. Y sí, fue un caos ese día, pero lo que estuvimos haciendo fue ejecutar protocolos de recuperación, es decir, no necesariamente con todos nuestros clientes, porque no todos los sistemas se basan en Windows por lo que no todos los sistemas se cayeron.

En primera instancia no había certeza de qué es lo que estaba sucediendo. La verdad es que no fue grave porque no fue un ataque, fue una actualización de un software, pero de principio se pensaba lo peor. Particularmente, nos había pasado que al mismo tiempo todos nuestros clientes tuvieran esta situación, y aunque somos una empresa 24/7, logramos aliviar todas las solicitudes que imperaban en ese momento.

• ¿Quiénes son sus principales clientes, operadores y grupos aeroportuarios, dentro y fuera de México?

Prácticamente nosotros tenemos algo que ver con todas las aerolíneas, y por consiguiente también con los grupos aeroportuarios. Con todos tenemos una relación en diferente sentido, ya que tenemos tecnología para finanzas, para tripulaciones, para operaciones o para el área comercial. Al final la industria es una comunidad donde todos nos conocemos.

• ¿Tienen soluciones enfocadas a otros segmentos de la aviación?

Aunque, por políticas de enITma no trabajamos con gobiernos, la administración de la nueva aerolínea estatal Mexicana de Aviación nos han buscado para realizar propuestas de cotización de nuestros sistemas, por lo que no nos cerramos a la posibilidad. Por otro lado, trabajamos tanto con grandes aerolíneas como con las pequeñas de una, dos o tres aeronaves en su flota, ya que tenemos soluciones para todos. Somos muy abiertos y muy transparentes con los operadores, es decir, el mismo precio que tiene uno, lo tienen los demás, aunque en ocasiones, como no podemos entregar el mismo producto a clientes muy pequeños, lo que hemos es desarrollar trajes a la medida.

• ¿Cuál es la inversión estimada que se espera que las empresas del sector del transporte aéreo en México inviertan en materia de ciberseguridad?

Es Interesante la pregunta, muy difícil de responder, ya que al conocer la información de diferentes aerolíneas la verdad es que no estamos autorizados para divulgar información confidencial de nuestros propios clientes por lo que es complicado definir el presupuesto que se está signando. Lo que sí te puedo decir es que todos están invirtiendo fuertemente en materia de ciberseguridad.

• Tomando en cuenta que los aeropuertos son considerados infraestructura crítica, ¿cuál es el camino que deberían de adoptar los grupos aeroportuarios para evitar ciber ataques en las terminales aéreas que administran?

La seguridad de la información es responsabilidad de todos, no nada más de las aerolíneas o de los grupos aeroportuarios, también del usuario (el pasajero), o sea, tú y yo que sabemos que en el día a día nos contactan por SMS o por WhatsApp con promociones falsas.

Las aerolíneas están haciendo lo suyo, por su parte los aeropuertos no solo invierten en ciberseguridad, sino también deben estar monitoreando comportamientos de la gente que deriven en actos de interferencia ilícita. Por ejemplo, en los aeropuertos como el de Ciudad de México, el de Cancún, que tienen muchísima gente en tránsito, existen personas maliciosas que debe estar monitoreadas. Incluso tenemos una aplicación de seguridad que, con base en la captura de fotos que se suben a un repositorio, es posible ofrecer una solución preventiva que estudia el comportamiento humano.

• ¿Existe normativa o iniciativas por parte de las autoridades aeronáuticas para regular la gestión de la seguridad de la información en el sector del transporte aéreo?

Existe mucha regulación por parte de las agencias federales, es especial de la Administración Federal de Aviación (FAA) de Estados Unidos, ya que ellos están muy comprometidos con el desarrollo en esta materia, en especial después del atentado del 11-S que sufrieron en 2001.

Por su parte, la IATA también está trabajando con las diferentes agencias de cada país en materia de seguridad, de ahí que ellos tienen la facultad, a veces atribuida por ellos mismos, para realizar señalamientos sobre el nivel de seguridad que existe en determinada nación.

A nivel nacional, esperemos que la Secretaría de Infraestructura, Comunicaciones y Transportes (SICT) de México implemente normativa en materia de ciberseguridad que nos obligue a todos cumplir con estos requisitos.

• ¿Cómo maneja su empresa la colaboración con otros proveedores para garantizar la seguridad en un entorno tecnológico interconectado?

De hecho, es muy sencillo cuando sabemos que nuestro cliente tiene proveedores que trabajan bajo la certificación ISO 27001, ya que suelen ser colegas con los que hablamos el mismo lenguaje. No obstante, puede haber otros proveedores que no estén certificados bajo ninguna ISO y tampoco bajo un código de programación seguro, en esos casos tenemos que ofrecer a nuestro cliente una solución integral que garantice, a través de pruebas, que la solución se desempeñará como debe hacerlo.

• ¿Cómo enITma exhorta a sus clientes sobre la importancia de la ciberseguridad?

Por mencionar una cifra relevante, el año pasado se perdieron más de mil millones de dólares a nivel mundial en materia de ciberataque, donde estuvieron implicados grupos aeroportuarios y aerolíneas.

La realidad es que un ataque de esta índole le puede suceder a cualquiera, quién iba a pensar que hace dos meses íbamos a estar sufriendo una caída mundial debido a una actualización en los sistemas de Microsoft, siendo una empresa tan grande. Vaya a cualquiera le puede suceder entonces en la medida que estemos. Tomando en cuenta lo anterior, si instalas una alarma en tu casa, por usar una analogía, un ladrón se la va a pensar dos veces y muy probablemente escoja aquella casa que no tiene un sistema de vigilancia.

Entonces, en la medida que estemos más protegidos, vamos a poder actuar con ciertos protocolos para poder parar al agresor y solucionar la contingencia. También es importante tener un plan B de respaldo como el DRP que nos ayude a evitar un daño irreparable.

• ¿Algo adicional qué te gustaría agregar?

Agradezco la oportunidad de hablar de estos temas, ya que son muy importantes para la industria y en general para toda la población. Me gustaría subrayar que la ciberseguridad no es un tema nada más de las aerolíneas y aeropuertos, también le compete al usuario. Finalmente, hay que evitar dejarse llevar por promociones que no sean emitidas oficialmente por las aerolíneas y en los sitios web y redes sociales oficiales.

Acerca de enITma

Con más de una década de experiencia en el mercado, enITma se ha consolidado como un socio confiable para compañías aeroespaciales de renombre.

enITma cuenta con más del 70% de participación de mercado en la industria aérea y entrega resultados de crecimiento doble digito año con año con EBITDA superior al 50% desde su creación.

Algunas de las tecnologías SaaS que entrega enITma son únicas en el mercado de la aviación y son utilizadas por las principales aerolíneas de la región.

enITma fundada en Austin, Texas, en los Estados Unidos de América, cuenta con operaciones en la Ciudad de México y Granada, España para atender el mercado de habla hispana.

Imágenes: enITma