David Nieto, Vicepresidente para Europa, Medio Oriente y África en Aviation ISAC (Aviation Information Sharing and Analysis Center) y Seán Guthrie, Analista de Inteligencia sobre Ciberamenazas en Aviation ISAC.

David Nieto: En la aviación, la ciberseguridad a menudo involucra a múltiples entidades: aerolíneas, aeropuertos, reguladores, fabricantes y proveedores de servicios. ¿Cómo podemos mejorar la colaboración entre industrias para garantizar una detección de amenazas más proactiva?

Seán Guthrie: Creo que la mejor manera de mejorar la colaboración entre industrias es enfatizar la confianza y la puntualidad. Cuando la inteligencia sobre amenazas cibernéticas en la aviación se mantiene oculta y fuertemente custodiada, ya sea por razones culturales, procedimentales o tecnológicas, solo los atacantes se benefician. En Aviation ISAC, hemos construido estratégicamente una comunidad confiable de empresas y entidades gubernamentales que poseen y operan infraestructuras de aviación. Esto ha creado un centro que facilita el flujo de información procesable. Cuando alguna entidad identifica una amenaza cibernética, toda la comunidad puede compartir la información. De la misma manera, la comunidad puede compartir las mejores prácticas sobre cómo detectar, prevenir y protegerse contra un ciberataque. En comunidades como la nuestra, las empresas con programas de ciberseguridad sólidos pueden ayudar a aquellas que continúan construyendo sus habilidades y capacidades en ciberseguridad.

S.G.: ¿Cuál ves como el papel de las asociaciones entre el gobierno y el sector privado para fortalecer la ciberseguridad en la aviación?

D.N.: Necesitamos una responsabilidad compartida. Las asociaciones sólidas, a través de agencias, ISACs y marcos compartidos, pueden agilizar el intercambio de inteligencia y asegurar respuestas rápidas y coordinadas. Cuando surge un incidente de ciberseguridad, los conflictos entre el gobierno y el sector privado salen a la luz. Los reguladores, las fuerzas del orden y las agencias de inteligencia a menudo son reacios a compartir información sobre ciberinteligencia debido a su valor para la aplicación de la ley o un programa de inteligencia. La entidad gubernamental puede estar preocupada por preservar las pruebas, seguir los protocolos judiciales o proteger los métodos sensibles de recolección. Por otro lado, los ejecutivos del sector privado pueden priorizar la protección de la marca, el riesgo legal y la reputación por encima de compartir información. Y ninguno quiere elevar la reputación de un grupo de ciberdelincuentes con publicidad gratuita. Estos inhibidores del intercambio de información benefician al atacante, ya que pueden usar los mismos métodos para atacar a otras organizaciones y causar más interrupciones en el ecosistema de la aviación. La aviación es un gran ejemplo de cómo las empresas en una industria no deben pensar solo en su propia compañía, sino mirar el panorama más amplio de la gestión del riesgo cibernético como parte de una red global. Una interrupción de una aerolínea tiene un impacto significativo en todos sus hubs aeroportuarios. De manera similar, una interrupción de un aeropuerto tiene un impacto significativo en varias aerolíneas. Esto resalta uno de nuestros desafíos más urgentes: equilibrar el instinto de proteger cierta información con la necesidad de advertir a los colegas y detener las actividades maliciosas antes de que se propaguen. En este contexto, no solo es posible, sino esencial equilibrar la urgencia, las necesidades de confidencialidad y el mandato de seguridad más amplio. El intercambio acelerado de los métodos de ciberataques (sin revelar a las víctimas actuales) podría prevenir o asistir en la detección de ataques adicionales. ¿Es más importante una investigación que involucra a una o más víctimas actuales que prevenir que más empresas sean víctimas? Este es un cambio importante en la forma de pensar culturalmente, de “debemos proteger esta inteligencia porque es sensible” a “debemos encontrar una manera de compartirla porque es peligrosa”. Comunidades confiables como Aviation ISAC proporcionan el entorno confiable para acelerar este intercambio de inteligencia procesable sobre amenazas y mejores prácticas en detección y prevención.

S.G.: ¿Cómo podemos alentar a las aerolíneas, fabricantes y otras partes interesadas a compartir inteligencia cibernética sensible con sus competidores?

D.N.: La clave es enfatizar la resiliencia colectiva sobre el riesgo individual. Si un actor malicioso compromete a una aerolínea, puede tener efectos en cascada en todo el sector de la aviación. Debido a que las amenazas pueden trasladarse rápidamente de una empresa a otra, es crucial que la información se comparta de manera rápida y exhaustiva. Además, la colaboración está en el ADN de los humanos. Solo necesitamos mirar el poder del desarrollo de aplicaciones de código abierto para ver cómo el trabajo colectivo y colaborativo lleva a una mayor innovación. Si nosotros, como operadores de infraestructuras críticas de aviación, no confiamos lo suficiente unos en otros para colaborar en el intercambio de inteligencia sobre amenazas cibernéticas, todos nos volvemos más vulnerables.

S.G.: La construcción de confianza a menudo comienza en círculos de intercambio privados más pequeños, donde las partes pueden ver realmente el beneficio de compartir datos. En Aviation ISAC, hemos fomentado estratégicamente el crecimiento lento de nuestra comunidad basada en la confianza. Comenzamos con 7 empresas miembros y 10 años después, nuestra membresía ha crecido a casi 140 miembros. Este crecimiento intencionado y medido es clave para la salud de la comunidad basada en la confianza.

S.G.: Un tema candente en estos días es la IA y el aprendizaje automático. ¿Cómo aprovechamos estas tecnologías para mejorar la detección colaborativa de amenazas?

D.N.: En su artículo de 2018 «IA y el equilibrio ataque/defensa», Bruce Schneier, de la Universidad de Harvard, dijo: “Tanto el ataque como la defensa se beneficiarán de las tecnologías de IA, pero creo que la IA tiene la capacidad de inclinar la balanza más hacia la defensa”. Aunque la IA ha mejorado efectivamente las capacidades defensivas de ciberseguridad, mejorando la detección de amenazas, automatizando respuestas y analizando comportamientos maliciosos, los atacantes también han aprovechado la IA para desarrollar herramientas y procesos de ataque más sofisticados, lo que aumenta el panorama de amenazas. En este contexto, el intercambio de información y la ciberinteligencia fortalecen la defensa al permitir una detección temprana, una respuesta coordinada y una mitigación proactiva de amenazas. Fomentando la colaboración y la inteligencia en tiempo real dentro de nuestra comunidad confiable, ayudan a inclinar la balanza hacia la defensa como parte de una estrategia de ciberseguridad en continua evolución. Cuando se trata de capacidades defensivas, la IA mejora la capacidad de los defensores cibernéticos para reconocer patrones, analizar grandes volúmenes de datos, responder rápidamente a amenazas y vulnerabilidades, aprender de los incidentes cibernéticos y reducir los errores humanos. Sin embargo, no todo lo que brilla es oro. También existen desafíos en el uso de la IA. La dependencia excesiva de las soluciones de IA podría llevar a una mala interpretación de los conocimientos de la IA y al riesgo de algoritmos sesgados. Por lo tanto, aunque la IA tiene el potencial de revolucionar la ciberseguridad, debemos encontrar el equilibrio entre los beneficios y los riesgos para seguir fomentando la innovación continua y la vigilancia.

S.G.: La comunicación efectiva no solo implica enviar inteligencia, sino garantizar que las partes interesadas comprendan su urgencia. ¿Cómo superamos estas barreras?

D.N.: Superar las barreras se puede lograr mediante una combinación de:

• Necesitamos fomentar un cambio cultural, en el que enfatizamos la resiliencia colectiva sobre la resiliencia individual. Las empresas deben entender su papel en aceptar y gestionar el riesgo compartido de mantener un ecosistema de aviación cibernéticamente saludable.
• Necesitamos construir confianza, habilidades y conciencia a través de entrenamientos continuos y ejercicios de mesa (TTX). Estos TTX deben incluir todos los segmentos de la industria: aerolíneas, aeropuertos, fabricantes de aeronaves, navegación aérea e incluso reguladores. Reunir a las personas con regularidad para simular incidentes crea familiaridad con los procesos y la terminología de los demás, y fortalece la base de la confianza.
• Aplicación consistente de marcos de gestión de riesgos cibernéticos, complementados con políticas internas claras y soporte legal para el intercambio oportuno de datos críticos sobre amenazas.
• En nuestra comunidad, también encontramos increíblemente importante celebrar y premiar a los equipos que comparten información.

D.N.: ¿Dónde ves el futuro de la colaboración en ciberseguridad en el sector de la aviación?

S.G.: Creo que estamos avanzando hacia un mundo más colaborativo dentro de la esfera de ciberseguridad en la aviación. El año pasado publicamos un documento técnico que desafía a nuestra industria a hacer este cambio cultural hacia un mayor intercambio de información. Estamos comprometidos con más gobiernos en todo el mundo y buscando aumentar el intercambio de información entre el sector público y privado. Además, habrá una mayor dependencia de la IA y el ML. La IA ha llegado para quedarse. Debemos aprender a utilizarla a nuestro favor, ya que nos llevará a un análisis más profundo de los comportamientos de los atacantes.

Preguntas personales

S.G.: David, ¿qué haces cuando no estás trabajando en la ciberseguridad en la aviación?

D.N.: Me encanta correr, practicar yoga y meditación, ya que me ayudan a mantenerme concentrado y equilibrado. También disfruto explorar nuevas tecnologías, viajar y pasar tiempo con mi familia.

D.N.: Seán, ¿qué haces cuando no trabajas en inteligencia sobre amenazas en la aviación?

S.G.: En mi tiempo libre, me gusta considerarme músico. No es raro verme en sesiones locales de música tradicional, tocando algunas melodías irlandesas. Mi prioridad actual es mejorar mis habilidades en la guitarra eléctrica, en el estilo del hard rock y el heavy metal clásico, como Iron Maiden, Black Sabbath o Thin Lizzy. Aparte de eso, disfruto salir y mantenerme saludable, conocer gente nueva, dar paseos por el parque y, por último, disfruto trabajando para mejorar mi nivel de irlandés, o Gaeilge.