Cyberhændelse i Heathrow: Lektioner i modstandsdygtighed og håndtering af hændelser

I takt med at regulatorer kræver robusthed i forretningsdrift, hvad kan andre så lære af cyberangrebet på en leverandør, der påvirkede Heathrow og dens konkurrenter i Europa?

I september a Cyber ​​angreb på softwareleverandøren Collins Aerospace førte til lange forsinkelser i en række europæiske lufthavne, herunder London Heathrow. påvirket Collins' Muse-passagerbehandlingssoftware, der bruges af flyselskaber til at håndtere online check-in og bagagesystemer i lufthavnene.

På det tidspunkt fokuserede mange af overskrifterne på forstyrrelser og passagerfrustration, men den måske mere interessante historie er, at Heathrows drift ikke gik i stå. Lufthavnen fortsatte med at fungere, omend i en forringet tilstand, takket være nødprocedurer, der var på plads før hændelsen.

Det kommer på et tidspunkt, hvor risikoen for cyberangreb er stigende. Der har været en stigning på 600 % i ransomware-angreb i luftfartssektoren på et år, ifølge Thales.

Med den slags tal i betragtning forbereder regeringer og regulatorer sig på en fremtid, hvor det ikke er muligt at forebygge cyberhændelser. Det er langt vigtigere, at organisationer kan holde driften kørende, når de finder sted.

I takt med at regulatorer kræver modstandsdygtighed i forretningsdrift, hvad kan andre så lære af det cyberangreb, der påvirkede Heathrow og dets konkurrenter i Europa?

Grænsen mellem forstyrrelse og katastrofe

Lufthavnens reaktion hjalp den med at fortsætte, selv under angreb. Til Heathrows ros var fokus på at holde essentielle operationer i gang, selvom dens kernefunktioner blev langsommere og forårsagede synlige forstyrrelser, siger Becky White, seniorjurist i Harper James' databeskyttelses- og privatlivsteam.

"Prioriteten var at opretholde sikker rejse frem for at bevare en problemfri passageroplevelse," fortæller hun IO. "Ved at skifte til forudplanlagte manuelle processer og adskille kritiske systemer fra de berørte, var de i stand til at absorbere chokket i stedet for at kollapse under det."

Katastrofe ville have betydet en fuldstændig nedlukning af lufttrafikken og passagerhåndteringen, hvorimod forstyrrelser ville have betydet køer, forsinkelser og løsninger. Heathrow havde "tydeligvis investeret i reserveprocedurer, der ikke var baseret på perfekte forhold", påpeger White. "Når systemerne svigtede, vidste personalet, hvordan 'godt nok til at forblive åben' så ud, og de handlede på det."

Læring for andre sektorer

Andre bør være opmærksomme, især dem, der opererer i kritiske sektorer, hvor nedetid ikke er en mulighed. Ud over luftfart, for industrier som sundhedspleje, energi, finans – eller detailhandel, som har oplevet sine egne bølge af angreb – Heathrow-eksemplet viser, hvordan modstandsdygtighed kan gøre hele forskellen.

Det handler om at sikre, at kritiske data kan gendannes hurtigt, systemer kan gendannes sikkert, og at driften kan fortsætte – selv når det primære miljø er offline, siger Anthony Cusimano, direktør hos Object First. "Disse sektorer er stærkt afhængige af uafbrudt adgang til data og driftssystemer, og selv korte afbrydelser kan have kaskaderende konsekvenser."

Kritiske industrier bliver i stigende grad bedømt på deres evne til at operere i "degraderet tilstand" snarere end helt at undgå forstyrrelser, siger White. "Heathrow demonstrerede, at forretningskontinuitet ikke behøver at være perfekt. Det handler om fremsynethed, øvelse og evnen til at prioritere, hvad der skal fortsætte."

Det skjulte spørgsmål

Med udgangspunkt i Heathrows tilgang bør alle bestyrelser sætte spørgsmålstegn ved, hvor længe de kan forblive i drift, hvis deres kernesystemer går offline, siger Sean Tilley, senior salgsdirektør EMEA hos 11:11 Systems.

Alligevel peger han på en "ubehagelig sandhed": Mange organisationer har ikke fuldt ud stresstestet dette scenarie, og forretningskontinuitetsøvelser er ofte "teoretiske eller isolerede".

De fleste organisationer antager stille og roligt, at de kan klare sig "i et stykke tid" uden et kernesystem, men meget få har testet, hvor længe det rent faktisk varer, siger White. "Det ærlige spørgsmål er ikke, om genopretning er mulig, men hvor længe virksomheden kan fungere uden sine nøgleplatforme – og hvad omkostningerne ville være for kunder, sikkerhed eller compliance."

Med dette i betragtning bør organisationer behandle Heathrow-hændelsen som "et casestudie for planlægning af modstandsdygtighed", siger Ken Prole, administrerende direktør for softwareudvikling hos Black Duck. Han påpeger, at forstyrrelser ikke kun kommer fra cyberangreb: De kan også stamme fra uventede begivenheder såsom CrowdStrike-hændelse der tog systemer ned verden over i 2024.

Med den indvirkning, som nedetid har på denne måde, fremhæver han spørgsmål, der bør stilles. For eksempel siger Prole: "Har I identificeret alle de kritiske afhængigheder i jeres drift og udført en grundig trusselsmodel? Har I en dokumenteret handlingsplan, der beskriver de handlinger, der skal foretages, når en eller flere afhængigheder kompromitteres?"

Indkommende regulering

Behovet for operationel robusthed i angrebssituationer er en central del af flere reguleringer. I Storbritannien og EU er rammer som f.eks. netværk og informationssystemer (NIS2)-direktivet Lov om digital operationel modstandskraft (DORA) og Storbritannien Lovforslaget om cybersikkerhed og resiliens prioritere operationel kontinuitet efter en hændelse.

"Compliance vil i stigende grad kræve, at organisationer demonstrerer modstandsdygtighed gennem metrikker, revisioner og bevis for afprøvede genopretningskapaciteter," siger Tilley.

I mellemtiden ISO / IEC 27001 fastsætter et grundlag for informationssikkerhedsstyringssystemer, herunder dokumenterede planer for håndtering af hændelser (A.5.29), overvejelser om forretningskontinuitet (A.5.30) og regelmæssig test af planer.

Standarder som denne lægger vægt på scenariebaseret testning under realistiske forhold, så organisationer kan "validere deres planer, identificere huller og opbygge tillid til deres evne til at reagere effektivt", ifølge Prole.

En anden nyttig ressource er NIST Cybersecurity Framework (CSF), som omfatter fem kernefunktioner: "identificere, beskytte, detektere, reagere og genoprette".

I Storbritannien specifikt, Nationalt Center for Cybersikkerhedsvurderingsramme (CAF) er et værktøj til essentielle tjenester og kritisk national infrastruktur.

Ansvar på bestyrelsesniveau

Modstandsdygtighed er nu et krav om overholdelse af regler, og med god grund. Forebyggelse er fortsat afgørende, men den større test er, hvordan organisationer fortsætter, når det værste sker. Heathrow er en påmindelse fra den virkelige verden om, at modstandsdygtighed – når den testes, øves og integreres – er lige så meget et krav om overholdelse af regler som en sikkerhedsforanstaltning.

Dette er vigtigt at overveje på bestyrelsesniveau, hvor ansvaret for både robusthed og sikkerhed nu ligger, påpeger White. Hun mener, at virksomheder skal "definere, hvilket niveau af nedetid der er tolerabelt", forstå deres operationelle afhængigheder og "sikre investering i realistisk kontinuitetsplanlægning".

Samtidig er der behov for regelmæssige evalueringer for at tilpasse sig ændringer i teknologi, regulering og forsyningskæder, siger White. "Modstandsdygtighed bør sidestilles med finansiel og juridisk risiko på bestyrelsesniveau, med klare rapporteringslinjer og ansvarlighed. Forventningen fra tilsynsmyndigheder og interessenter er, at virksomheder kan demonstrere beredskab, ikke kun intention. Hvis bestyrelsen kun støder på planen under en reel hændelse, har organisationen allerede mistet kontrollen over fortællingen."