Tähän osioon päivitetään ilmailun kyberturvallisuudesta usein kysyttyjä kysymyksiä ja niiden vastauksia.

Ilmailun turvaamisen (aviation security) sääntelyn (EU) 2019/1583 käytäntöön viemiseen liittyviä kysymyksiä:

Keitä ilmailun organisaatioita kyseinen sääntely velvoittaa?
Vastaus: Asetus koskee lentoaseman pitäjiä, lentoliikenteen harjoittajia (AOC-organisaatiot) ja kansallisessa siviili-ilmailun turvaohjelmassa määriteltyjä yksiköitä. Jälkimmäisiin kuuluvat asetuksessa (EC) 300/2008 määritellyt tunnetut lähettäjät (known consignor), valvotut edustajat (regulated agent) ja valvotut toimittajat (regulated supplier).
Miten organisaatiomme kannattaisi lähteä liikkeelle asetuksen velvoitteiden toteuttamisessa?
Vastaus: Asetus edellyttää, että organisaatiot tunnistavat ja määrittävät siviili-ilmailussa käytettävät kriittiset tieto- ja viestintätekniset järjestelmänsä ja kriittisen datansa ja suojaavat ne kyberhyökkäyksiltä, jotka voisivat vaikuttaa siviili-ilmailun turvaamiseen. Käytännössä, aluksi organisaation on hyvä kuvata menetelmä, jolla se tunnistaa ja arvioi ilmailun turvaamisen kannalta kriittiset järjestelmänsä ja datan. Organisaation on pyydettäessä kyettävä esittämään dokumentoitu menettely ilmailuviranomaiselle. "Tunnistaminen" on ensimmäinen toimenpide tietoturvanhallinnassa (tunnistaminen, suojaaminen, havaitseminen, reagointi, palautuminen).
Velvoittaako kyseinen sääntely meitä, jos meillä ei ole ilmailun turvaamisen kannalta kriittisiä järjestelmiä?
Vastaus: Jos tällä hetkellä organisaatiolla ei ole ilmailun turvaamisen kannalta kriittisiä järjestelmiä, sääntelyn vaikutukset ovat erittäin vähäisiä. Organisaation toimintaympäristö (liiketoiminta, kumppanit, järjestelmien rajapinnat jne.) on kuitenkin jatkuvassa muutoksessa, joten tilanne kriittisten järjestelmienkin osalta voi muuttua. Organisaation on jatkuvasti tiedostettava tilanteensa ja täytettävä sääntelyn velvoitteet kriittisten järjestelmiensä osalta.
Olemme ISO 27001-sertifioitu yritys ja meillä on tietoturvallisuuspolitiikka. Lisäksi meillä on yleinen ohjeistus tietoturvaan. Täyttääkö tämä vaatimuksen ilmailun kannalta kriittisten järjestelmien tunnistamisesta, suojaamisesta, tapahtumien havaitsemisesta, reagoimisesta ja palautumisesta, sekä kaikkien näiden todentamisesta?
Vastaus: Jos ISO 27001-sertifioinnin laajuus kattaa myös ilmailun kannalta kriittiset järjestelmät ja tämä voidaan todentaa, se on vahva lähtökohta vaatimusten täyttämiselle ja todentamiselle, jota viranomainen valvoo ja arvioi. Keskeistä kuitenkin on, että organisaatiolla on kuvattu ja todennettavissa oleva prosessi (ilmailun kannalta kriittisten järjestelmien tunnistamiseksi, suojaamiseksi, tapahtumien havaitsemiseksi, niihin reagoimiseksi ja niistä palautumiseksi), jonka se voi esittää ulkopuoliselle tarkastelijalle. Prosessin on kuvattava riittävällä tarkkuudella, miten organisaatio esim. tunnistaa kriittisiä järjestelmiä. Tietoturvasertifikaatti tai -politiikka eivät yksin riitä kuvaamaan prosessia.