L'industrie aéronautique dépend de systèmes numériques complexes, conçus pour privilégier la stabilité, la sécurité et une longue durée de vie, mais cela présente également des défis uniques en matière de cybersécurité. Une compromission peut rapidement déclencher une crise opérationnelle et une perte de confiance du public. Dans un entretien avec Help Net Security, Deneen DeFiore, vice-présidente et directrice de la sécurité de l'information d'United Airlines, a partagé comment garantir la sécurité des environnements critiques lors de la modernisation, et pourquoi la résilience et la continuité sont essentielles. DeFiore a également discuté des stratégies de gestion des risques au sein de l'écosystème aéronautique.
Dans le processus de modernisation de l'industrie aéronautique, la précision et la fiabilité sont prioritaires par rapport à la vitesse. De nombreux avions et leurs systèmes opérationnels ont été conçus dès le départ avec la stabilité et la certification de conformité comme éléments centraux, plutôt que la recherche d'itérations rapides. Les entreprises améliorent la sécurité globale en déployant consciemment des contrôles modernes autour des systèmes hérités et des systèmes critiques pour la sécurité — tels que l'authentification renforcée, la segmentation réseau et la surveillance continue — tout en évitant d'introduire de nouveaux risques opérationnels. Chaque changement technologique ou de processus doit apporter une amélioration mesurable de la sécurité, de la fiabilité ou de la résilience, et la construction de la cybersécurité suit ce même principe fondamental.
La nature des compagnies aériennes est hybride et multiple : elles sont à la fois des entreprises de technologie de l'information, des opérateurs logistiques et des fournisseurs d'infrastructures critiques pour la sécurité. Cette complexité influence profondément l'élaboration de leurs stratégies de cybersécurité. Un incident de cybersécurité dans l'aviation peut rapidement évoluer en une interruption opérationnelle, voire un problème de sécurité. Par conséquent, leurs stratégies de protection sont toujours centrées sur la continuité opérationnelle, la résilience des systèmes et la construction de la confiance. L'évaluation des risques cybernétiques est directement liée à leur impact sur la capacité à assurer la sécurité des décollages et atterrissages, la planification des équipages et le transport des passagers. Les responsables de la cybersécurité doivent comprendre en profondeur les activités de l'entreprise, des opérations de vol aux contraintes réglementaires, afin de pouvoir élaborer un système de protection réellement efficace.
L'interconnectivité profonde de l'écosystème aéronautique signifie que les risques ne proviennent pas seulement de l'intérieur de l'entreprise, mais impliquent également de nombreux acteurs externes tels que les aéroports et les constructeurs, dont beaucoup échappent au contrôle direct des compagnies aériennes. Par conséquent, le point de départ de la gestion des risques réside dans l'amélioration de la visibilité et la construction de partenariats. Les entreprises doivent consacrer des ressources à clarifier leurs dépendances, identifier les tiers critiques et les goulots d'étranglement des systèmes, et évaluer ceux-ci par le biais d'analyses de scénarios et de modélisations de l'impact opérationnel. Le partage d'informations est crucial dans ce processus ; souvent, une détection précoce des menaces est plus importante que la recherche d'un contrôle parfait. Les entreprises doivent présupposer que les interruptions opérationnelles peuvent provenir de l'extérieur et se concentrer sur la détection rapide, la compréhension précise de l'impact et l'adaptation flexible — dans ce processus, la construction de la résilience et la capacité de coordination inter-organisationnelle sont aussi importantes que les contraintes contractuelles.
Lorsqu'un incident de cybersécurité implique des passagers au sol ou en vol, la complexité des décisions de crise augmente considérablement. De telles décisions ne peuvent pas être prises de manière isolée, mais nécessitent une collaboration étroite entre l'équipe de cybersécurité et plusieurs départements tels que les opérations, la sécurité et les affaires juridiques, afin de garantir que les actions entreprises équilibrent les besoins de sécurité, la continuité opérationnelle et la confiance du public. La planification préalable et les exercices inter-départements deviennent essentiels. Des plans d'urgence clairs et une définition des autorités décisionnelles aident les équipes à répondre rapidement et de manière ordonnée sous pression. La confiance se construit grâce au respect des missions de chaque domaine d'expertise et au partage des résultats. La responsabilité partagée est basée sur des relations de collaboration approfondies, et la cybersécurité est positionnée comme un facilitateur clé soutenant les opérations aériennes sûres.
