ملخص

لماذا تنتمي هذه القضية إلى ملف خطر ومساءلة

تنتمي SITA إلى ملف خطر ومساءلة لأن ركاب الطيران نادرًا ما يختارون مزود نظام خدمة الركاب الذي يخزن أو يعالج أجزاء من سجل سفرهم. يشتري الراكب تذكرة من شركة طيران، وينضم إلى برنامج ولاء، ويستخدم ميزة تحالف، ويسجل الوصول في المطار، ويقدم وثائق السفر، ويتوقع أن تستجيب العلامة التجارية للطيران عند حدوث خطأ ما. وراء هذه العلاقة المرئية، يدير موردون مثل SITA أنظمة تدعم سير عمل الحجز ومراقبة المغادرة ومعالجة الركاب وتبادل البيانات.

عندما يؤثر حادث مورد على بيانات الركاب، يصبح سؤال المساءلة العملي أصعب مما هو عليه في اختراق علامة تجارية واحدة: أي طرف كان يتحكم في البيئة المتأثرة، وأي طرف كان يتحكم في علاقة العميل، وأي طرف كان لديه الأدلة اللازمة لإخبار الركاب بما حدث؟

أنظف سجل عام مملوك لـ SITA ليس صفحة حدث قصيرة يسهل العثور عليها. إنه بيان رئيس مجلس الإدارة في تقرير النشاط لعام 2021 على source: sita.aero. يقر هذا البيان بأن SITA أصبحت ضحية هجوم إلكتروني متطور في أوائل 2021، وأن الحادث تضمن بعض بيانات الركاب المخزنة على خوادم نظام خدمة الركاب، وأن SITA تصرفت بسرعة بعد تأكيد خطورة الحادث، وتم بدء إجراءات احتواء مستهدفة. كما يسجل إجراءات حوكمة: مراجعة مستقلة، وجمعية عامة خاصة في 22 فبراير 2022 لعرض الرؤى والإجراءات المتفق عليها للأعضاء، ولجنة للأمن السيبراني مكونة من خبراء تكنولوجيا المعلومات من مجلس إدارة SITA، وبرنامج محسّن لتحسين الأمن المؤسسي بـ 38 إجراءً عبر 24 مشروعًا.

تلك الحقائق مهمة لأنها تضع الحدث في الفئة الصحيحة. لم تكن هذه مجرد مشكلة اتصالات لشركات الطيران. لقد كانت حادثة أمن بيانات يتحكم فيها المورد داخل بنية تحتية طيران مشتركة. كان على المورد التحقيق في الخوادم المتأثرة. كان على شركات الطيران إخطار عملائها وأعضاء برامج الولاء. كان على التحالفات حساب ممارسات مشاركة البيانات. كان على الجهات التنظيمية وفرق حماية البيانات فهم مسؤوليات المراقب والمعالج والإخطار. كان على الركاب تفسير الخطر من الإشعارات التي غالبًا ما كانت تقول إن أنظمة شركة الطيران الخاصة بهم لم تتأثر بشكل مباشر.

السؤال الواضح هو عملي: من كان لديه السيطرة العملية على فصل مستأجري الخطوط الجوية، والاحتفاظ ببيانات خدمة الركاب، وإخطار المورد لشركات الطيران، ونطاق التعرض لبرامج الولاء، وأدلة الجهات التنظيمية، وإثبات أن مزود تكنولوجيا طيران واحد لم يصبح نقطة عمياء مشتركة؟ الإجابة العامة مقسمة. سيطرت SITA على بيئة SITA PSS المتأثرة ومعظم الأدلة الجنائية. سيطرت شركات الطيران على علاقاتها بالركاب والعديد من اتصالات أصحاب البيانات. ساعدت عمليات التحالف في تفسير سبب وجود بعض البيانات في نظام ركاب ناقل آخر. قدمت الجهات التنظيمية المفردات القانونية للإخطار بالاختراق وواجبات المعالج والمساءلة. لم يتحكم الركاب في أي من الأدلة ذات الصلة تقريبًا.

يبدأ الجدول الزمني باكتشاف المورد، وليس وعي الركاب

يبدأ الجدول الزمني العام بتأكيد SITA أن خطورة الحادث تم تأكيدها في 24 فبراير 2021 وأنه تم الاتصال بعملاء SITA PSS المتأثرين والمنظمات ذات الصلة. تناول تقرير TechCrunch على source: techcrunch.com نافذة الإفصاح العام الأولي ووصف تأكيد SITA لاختراق يتضمن بيانات ركاب مخزنة على خوادم أمريكية. سجلت SecurityWeek على source: securityweek.com ومجلة Infosecurity على source: infosecurity-magazine.com بالمثل بيان SITA بأن بيانات نظام خدمة الركاب كانت متورطة وأن الاحتواء والتحقيق جاريان.

التأخير بين تأكيد المورد وفهم الراكب هو سطح المساءلة. قد يخطر المورد عملاء شركات الطيران المتأثرين بسرعة. قد تحتاج شركة الطيران بعد ذلك إلى تحديد ما إذا كان عملاؤها متأثرين، وعناصر البيانات الموجودة، وما إذا كان عميلاً مباشرًا لـ SITA PSS، وما إذا كانت البيانات موجودة عبر ترتيبات التحالف، وما إذا كانت عتبات الإخطار التنظيمي قد تحققت، وما الذي يجب أن تقوله لغة العميل، وما إذا كان العملاء بحاجة إلى تغيير كلمات المرور أو بطاقات الدفع. يرى الراكب نهاية تلك السلسلة، وليس التسليمات الداخلية.

تقرير PhocusWire على source: phocuswire.com مفيد لأنه يظهر أن الحدث لم يقتصر على شركات الطيران التي تستخدم SITA PSS مباشرة. أفاد أن الاختراق أثر على عدة شركات طيران، بما في ذلك بعضها الذي مرت بيانات المسافر الدائم عبر البيئة المخترقة بسبب تبادل بيانات التحالف. على سبيل المثال، قالت Singapore Airlines إنها لم تكن عميلة لـ SITA PSS، ولكن مجموعة محدودة من بيانات المسافر الدائم تمت مشاركتها داخل Star Alliance ويمكن أن توجد في نظام خدمة ركاب شركة طيران عضو أخرى. هذا التمييز محوري للمساءلة. يمكن أن يتأثر الراكب بعلاقة مورد لا تمتلكها شركة الطيران الخاصة به بالمعنى العادي المواجه للعميل.

تقرير The Guardian على source: theguardian.com سجل إشعارات موجهة للركاب حددت بعض التعرضات لرقم عضوية المسافر الدائم ومستوى الحالة والاسم. تقرير BleepingComputer على source: bleepingcomputer.com حدد عدة ناقلين أبلغوا الركاب عن تعرض مرتبط بـ SITA. تلك التقارير لا تحل محل سجلات SITA الخاصة، لكنها تظهر التسلسل الزمني العام: حادث مورد، إشعار شركة طيران، شرح تحالف، تأطير خطر الراكب.

بيانات المسافر الدائم ليست تافهة فقط لأنها ليست كلمة مرور

أكدت عدة إشعارات لشركات طيران أن البيانات المكشوفة لم تتضمن كلمات مرور أو بيانات بطاقات الدفع أو أرقام جوازات السفر أو مسارات السفر أو الحجوزات أو تفاصيل إصدار التذاكر أو عناوين البريد الإلكتروني لمجموعات متأثرة معينة. هذا التحديد مهم ويجب أن يُنسب. التقرير المتعلق بـ Singapore Airlines على source: business-standard.com قال إن المعلومات المتأثرة كانت محدودة برقم العضوية ومستوى الحالة وفي بعض الحالات الاسم لحوالي 580,000 عضو KrisFlyer وPPS. إشعارات عملاء Air New Zealand الموصوفة في source: theguardian.com استخدمت حدودًا مماثلة لبيانات المسافر الدائم المتأثرة.

لكن بيانات المسافر الدائم ليست بيانات وصفية لا معنى لها. يمكن أن يكشف رقم العضوية ومستوى الحالة والاسم عن علاقة تجارية واستحقاق سفر ومعرف حساب وقيمة ولاء وسياق هندسة اجتماعية. يمكن أن يساعد المهاجم في كتابة رسائل دعم حساب أكثر قبولاً. يمكن أن يساعد في تحديد المسافرين ذوي القيمة العالية. يمكن دمجه مع مجموعات بيانات أخرى. يمكن أن يكشف أيضًا حقيقة أن مزايا التحالف تتطلب نقل البيانات إلى ما وراء شركة الطيران التي أصدرت حساب الولاء.

لذا فإن قضية المساءلة ليست ما إذا كانت أسوأ عناصر البيانات الممكنة قد تعرضت في كل إشعار شركة طيران. القضية هي ما إذا كان كل مجموعة بيانات قد تم تحديد نطاقها وشرحها بدقة. بالنسبة لبعض الناقلين، أشار السجل العام إلى مجموعة بيانات محدودة للمسافر الدائم. بالنسبة لـ Air India، وصف السجل العام لاحقًا مجموعة أوسع بكثير من بيانات الركاب. هذا الاختلاف يثبت لماذا سرد عام واحد لاختراق SITA غير كافٍ.

التقارير المتعلقة بـ Air India على source: bleepingcomputer.com و source: livemint.com و source: forbes.com قالت إن Air India أخبرت العملاء أن SITA PSS، معالج بيانات نظام خدمة الركاب، تعرض لهجوم إلكتروني وأن حوالي 4.5 مليون من أصحاب البيانات في جميع أنحاء العالم تأثروا. وصفت التقارير العامة فئات مكشوفة يمكن أن تشمل الاسم وتاريخ الميلاد ومعلومات الاتصال ومعلومات جواز السفر ومعلومات التذكرة وبيانات المسافر الدائم وبيانات بطاقات الدفع، مع الإشارة إلى أن رموز أمان البطاقة لم تكن محفوظة لدى SITA PSS. لا ينبغي خلط هذه الحقائق مع الإشعارات المحدودة للولاء فقط من شركات الطيران الأخرى. تظهر لماذا يجب أن يكون النطاق خاصًا بشركة الطيران وفئة البيانات.

حدود المستأجرين تصبح مرئية فقط بعد الاختراق

تخلق أنظمة خدمة الركاب تحديًا للمساءلة لأن حد المستأجر أقل وضوحًا للراكب مما هو عليه للمهندسين وفرق العقود. قد يفترض الراكب أن شركة الطيران تحتفظ بالسجل. قد تستخدم شركة الطيران موردًا. قد يستضيف المورد عدة عملاء من شركات الطيران. قد يشارك شركاء التحالف مجموعة فرعية محدودة من البيانات. قد تعتمد المطارات ووكلاء الأرض على بيانات معالجة الركاب. قد تتلقى الحكومات معلومات مسبقة عن الركاب. النظام مصمم لجعل السفر يبدو موحدًا. يجبر الاختراق بنية البيانات على الظهور للعامة.

صفحة منتج معالجة الركاب الحالية لـ SITA على source: sita.aero ليست سجلًا جنائيًا لحادث 2021، لكنها توضح سبب أهمية أنظمة معالجة الركاب. تصف الصفحة تسجيل الوصول الآلي والصعود إلى الطائرة، والنشر السحابي أو المحلي، ونقل بيانات الركاب، والتكامل مع منتجات معالجة الركاب الأخرى، وميزات المرونة لعمليات مراقبة المغادرة. توضح هذه القدرات نوع السطح التشغيلي الذي يمكن أن يشغله مزود نظام الركاب: الهوية، حالة المغادرة، تسجيل الوصول، الصعود إلى الطائرة، أنظمة شركات الطيران، تدفقات البيانات الحكومية، وعمليات المطار.

لا تدعي المقالة أن SITA Maestro كانت متورطة في حادث 2021. إنها تستخدم سياق المنتج لشرح فئة الاعتماد. يمكن نشر أتمتة معالجة الركاب في بنى مختلفة، لكن مشكلة المساءلة ثابتة: قد يكون نظام المورد مركزيًا من الناحية التشغيلية بينما تظل علاقة الثقة مع شركة الطيران. عندما يكون لدى المورد السجلات ولدى شركة الطيران العميل، تعتمد جودة الإخطار على انضباط التسليم.

سؤال حد المستأجر له خمسة أجزاء على الأقل. أولاً، ما هي بيانات شركة الطيران التي كانت موجودة على خوادم SITA PSS المتأثرة؟ ثانيًا، ما هي البيانات الموجودة لأن شركة الطيران كانت عميلة لـ SITA PSS، وما هي البيانات الموجودة بسبب ترتيبات مشاركة بيانات التحالف أو الخطوط المشتركة؟ ثالثًا، ما هي معرفات الركاب المرتبطة بوثائق السفر أو التذاكر أو سجلات الدفع أو بيانات اعتماد الحساب أو تفاصيل الاتصال؟ رابعًا، أي خادم أو قاعدة بيانات أو تطبيق أو مسار دعم عبر حدود شركات الطيران؟ خامسًا، كيف أثبتت SITA لكل شركة طيران أن مستأجري شركات الطيران غير المرتبطين أو فئات البيانات غير المرتبطة لم تتأثر؟

هذه الأسئلة ليست اتهامات. إنها فئات الأدلة المطلوبة للنطاق الخاضع للمساءلة. يمكن للمورد أن يذكر أن بعض بيانات الركاب فقط تأثرت. يمكن لشركات الطيران أن تذكر أن أنظمتها الخاصة لم تتأثر. قد يكون كلا البيانين صحيحين، لكن الجمهور لا يزال بحاجة إلى فهم البنية التي تجعلهما صحيحين في نفس الوقت.

المراقب والمعالج والراكب ليسوا نفس الدور

سجل GDPR مهم لأن العديد من شركات الطيران المتأثرة والركاب وتدفقات البيانات تقع في أو تمس اختصاصات حيث تشكل واجبات المراقب والمعالج استجابة الاختراق. يحدد نص GDPR الرسمي على source: eur-lex.europa.eu الإطار القانوني، بما في ذلك مسؤوليات المراقبين والمعالجات وأمن المعالجة والإخطار بانتهاكات البيانات الشخصية. تشرح إرشادات EDPB حول المراقب والمعالج على source: edpb.europa.eu أن هذه المفاهيم تحدد من المسؤول عن الامتثال وكيف يمكن لأصحاب البيانات ممارسة حقوقهم عمليًا.

إرشادات EDPB للإخطار بالاختراق على source: edpb.europa.eu مفيدة لأنها تؤكد أن المعالجات يخطرون المراقبين دون تأخير غير مبرر بعد علمهم بالاختراق وأن الخطر على الأفراد يدفع قرارات الإخطار.

تناسب هذه المفردات القانونية قضية SITA دون حل الدور القانوني الدقيق لكل شركة طيران في كل اختصاص. قد تعمل SITA كمعالج لبعض بيانات خدمة ركاب شركات الطيران. قد تعمل شركات الطيران كمراقبين لسجلات عملائها والولاء. قد يخلق تبادل بيانات التحالف أسئلة توزيع إضافية. الركاب هم أصحاب بيانات وعملاء وأعضاء ولاء أو أفراد متأثرون حسب السياق. يجب أن يحافظ ملف المساءلة الصحيح على هذه التمييزات.

غالبًا ما تستخدم إشعارات شركات الطيران لغة عملية بدلاً من التصنيف القانوني. يخبرون العملاء بالبيانات المتورطة وغير المتورطة، وما إذا كانت أنظمة شركة الطيران الخاصة متأثرة، وما إذا كان يجب على العميل اتخاذ إجراء. هذا ضروري. لكن خلف الإشعار، يجب أن يكون المراقب قادرًا على تبرير تقييم المخاطر. إذا قدم المعالج أدلة غير كاملة، لا يمكن للمراقب إعطاء إشعار موثوق. إذا أجل المراقب أو خفف الإشعار لأن المورد لم ينته من النطاق، يتحمل الركاب عدم اليقين.

لذلك يختبر حادث SITA سلسلة أدلة المعالج إلى المراقب. كان على SITA توفير الحقائق لشركات الطيران. كان على شركات الطيران ترجمة تلك الحقائق إلى إشعارات موجهة للركاب. يمكن للجهات التنظيمية أن تسأل عما إذا كانت الإشعارات في الوقت المناسب وكافية. لم يتمكن الركاب من فحص السجلات الأصلية. لهذا السبب لا يمكن اختزال مساءلة المورد إلى "أخبرنا عملاءنا." يتطلب دليلًا على أن إشعارات المورد كانت كافية بما يكفي للمراقبين النهائيين للوفاء بواجباتهم.

Air India غيرت المقام

ركزت الموجة الأولى من الاهتمام العام على بيانات المسافر الدائم للعديد من ناقلي Star Alliance وoneworld. غيرت Air India المقام العام. قال تقرير BleepingComputer عن Air India على source: bleepingcomputer.com إن Air India كشفت أن حوالي 4.5 مليون عميل تأثروا بعد اختراق SITA PSS. استنسخ تقرير Mint على source: livemint.com لغة Air India التي تصف SITA PSS كمعالج بيانات لنظام خدمة الركاب وقالت إن الحادث أثر على حوالي 4.5 مليون من أصحاب البيانات في جميع أنحاء العالم. وضعت Forbes على source: forbes.com الإفصاح في سياق اختراق SITA الأوسع.

هذا المقام مهم لثلاثة أسباب. أولاً، يشير إلى أن عميل SITA PSS يمكن أن يكون لديه سجلات ركاب أوسع في البيئة المتأثرة من مجموعات بيانات المسافر الدائم المقتصرة على التحالف. ثانيًا، تضمن بيانات على مدى فترة تسجيل طويلة، وفقًا للتقارير العامة، مما يثير أسئلة حول الاحتفاظ والتصغير. ثالثًا، فرض تمييزًا بين بيانات بطاقات الدفع وبيانات رمز أمان البطاقة. قالت التقارير العامة إن معلومات بطاقات الدفع قد تكون متورطة ولكن أرقام CVV أو CVC لم تكن مخزنة لدى SITA PSS.

الفرق بين 580,000 سجل ولاء مقيد و4.5 مليون من أصحاب بيانات الركاب الأوسع ليس تناقضًا في حد ذاته. قد يكون لدى شركات الطيران المختلفة فئات بيانات مختلفة وفترات احتفاظ وتكوينات مورد وعتبات إخطار مختلفة. سيكون فشل المساءلة هو دمجها في إحصائية واحدة غير متمايزة. يمكن أن ينتج حادث مورد مقامات متعددة: عملاء شركات الطيران الذين تم إخطارهم، والركاب المتأثرون بشركة الطيران، وأعضاء المسافر الدائم المتأثرون، وفئات البيانات المكشوفة، والسجلات ضمن كل فئة، ونطاقات التاريخ، والجهات التنظيمية التي تم إخطارها، والعملاء الذين يحتاجون إلى نصائح تصحيحية.

تثير Air India أيضًا مسألة الاحتفاظ بالبيانات. قالت التقارير العامة إن فترة التسجيل المتأثرة امتدت من 2011 إلى أوائل 2021. نافذة مدتها عقد هي إشارة مساءلة. قد تحتفظ أنظمة خدمة الركاب بالسجلات لأغراض تجارية مشروعة أو تنظيمية أو ولاء أو تسوية أو وثائق سفر أو نزاع أو أرشفة. ولكن عندما تتعرض بيانات قديمة، يجب أن يشرح السجل لماذا كانت تلك الحقول موجودة، ومن وافق على الاحتفاظ، وما إذا تم تصغير سجلات الركاب غير النشطة، وما إذا كانت البيانات القديمة مفصولة عن التدفقات التشغيلية الحالية.

كان على إشعارات شركات الطيران الفصل بين المعروف والمستبعد

قامت إشعارات شركات الطيران الأفضل بأمرين في وقت واحد: تسمية البيانات المتورطة وتسمية البيانات المستبعدة. بالنسبة لـ Singapore Airlines، قالت التقارير العامة إن البيانات المتورطة كانت محدودة برقم العضوية ومستوى الحالة وفي بعض الحالات الاسم، وأن كلمات المرور ومعلومات بطاقات الدفع وأرقام جوازات السفر ومسارات السفر والحجوزات وإصدار التذاكر وعناوين البريد الإلكتروني لم تكن متورطة في ذلك النقل. بالنسبة لـ Air New Zealand، أبلغت The Guardian عن حدود مماثلة للاسم ومستوى الحالة ورقم العضوية. بالنسبة لـ British Airways وFinnair، أبلغت PhocusWire أن المعلومات التي تم الوصول إليها لم تتضمن تفاصيل مالية أو كلمات مرور.

عمل الاستبعاد هذا ليس تجميليًا. إنه فرز للمخاطر. يتصرف الركاب بشكل مختلف اعتمادًا على ما إذا كانت كلمات المرور أو أرقام جوازات السفر أو بيانات الدفع أو مسارات السفر أو تفاصيل الاتصال أو فقط بيانات مستوى الولاء متورطة. تقوم الجهات التنظيمية أيضًا بتقييم خطر الإخطار بشكل مختلف اعتمادًا على فئة البيانات وإمكانية التعرف والضرر المحتمل والتخفيف والسياق. يمكن للإشعار الغامض إما أن ينبه العملاء بشكل مفرط أو يتركهم غير محميين.

مع ذلك، الاستبعادات قوية فقط بقوة الأدلة التي تقف وراءها. إذا قالت شركة طيران إن كلمات المرور لم تتأثر، فيجب أن تعتمد على بنية النظام وخرائط تدفق البيانات وسجلات المورد ونطاق الحادث. إذا قالت إن أرقام جوازات السفر لم تتم مشاركتها مع شركاء التحالف، فيجب أن تثبت مواصفات مشاركة البيانات. إذا قالت إن أنظمة تكنولوجيا المعلومات الخاصة بها لم تتأثر، فيجب أن تميز بين الاختراق المباشر والتعرض للبيانات عبر نظام شريك. لذلك تشكل جودة أدلة المورد بشكل مباشر ثقة العميل في إشعار شركة الطيران.

صفحة حماية البيانات والخصوصية لـ IATA على source: iata.org ذات صلة هنا لأنها تؤطر خصوصية البيانات كقضية راكب وشركة طيران في النقل الجوي عبر الحدود. الطيران ليس بيئة مراقب واحد محلية. تتحرك بيانات الركاب عبر شركات الطيران والمطارات والحكومات ومقدمي الخدمات والتحالفات ووكلاء السفر ووكلاء الأرض وبائعي التكنولوجيا. إشعار الاختراق الذي لا يشرح مسار البيانات يترك الراكب في ارتباك العلامة التجارية.

استجابة مجلس إدارة المورد هي جزء من سجل السيطرة

بيان رئيس مجلس إدارة SITA مهم بشكل غير عادي لأنه يوثق متابعة الحوكمة. يقول إن مجلس إدارة SITA بدأ مراجعة مستقلة وبقي منخرطًا بنشاط. يقول إنه تم عقد جمعية عامة خاصة في 22 فبراير 2022 لتقديم الرؤى المكتسبة والدروس المستفادة بشكل عام والإجراءات المتفق عليها للأعضاء. يقول إنه تم تشكيل لجنة للأمن السيبراني من خبراء تكنولوجيا المعلومات في المجلس وأصبحت لجنة دائمة. يقول إن تلك اللجنة ستشرف على تنفيذ برنامج تحسين الأمن المؤسسي المحسّن وستقدم تقارير منتظمة إلى المجلس. يقول إن البرنامج تضمن 38 إجراءً عبر 24 مشروعًا تتضمن تحسينات أمنية لدورة حياة المحفظة والتكنولوجيا، وتحديد المواقع للاستجابة للتهديدات الناشئة، والاستمرار في تنفيذ أفضل الممارسات.

سجل الحوكمة العام هذا لا يروي القصة الجنائية بأكملها. لا يكشف عن مسار الاختراق أو قواعد البيانات المتأثرة بالضبط أو قائمة مستأجري شركات الطيران الكاملة أو قائمة الإخفاقات في السيطرة الكاملة أو جميع إجراءات التصحيح أو نتائج المراجعة المستقلة. لكنه ينقل الحادث من حدث اتصالات إلى برنامج إصلاح تحت إشراف مجلس الإدارة. هذا مهم في قضية مساءلة المورد. يجب على مزود طيران مشترك أن يظهر أن الإصلاح محكوم على المستوى حيث يتم اتخاذ قرارات الشهية للمخاطر والاستثمار واتصالات الأعضاء ودورة حياة المنتج.

وجود لجنة مجلس إدارة يظهر أيضًا الدرس الصحيح: لا يمكن عزل أمن بيانات الركاب داخل فريق الاستجابة للحوادث. إنه يؤثر على تصميم المنتج والهندسة والمشتريات وعلاقات الأعضاء والالتزامات القانونية وهندسة الأمن والمراقبة ودعم العملاء. يشير برنامج الـ 38 إجراءً إلى أن ملف الإصلاح كان يجب أن يغطي مجالات متعددة. لا يمكن للجمهور التحقق من كفاية كل إجراء، لكن الهيكل هو دليل ذو صلة.

إطار الأمن السيبراني لـ NIST على source: nist.gov و NIST SP 800-53 Rev. 5 على source: csrc.nist.gov توفر مفردات مفيدة لما يجب أن يغطيه برنامج الإصلاح هذا: تحديد الأصول، التحكم في الوصول، التدقيق والمساءلة، إدارة التكوين، الاستجابة للحوادث، سلامة النظام والمعلومات، تقييم المخاطر، التخطيط للطوارئ، وخطر سلسلة التوريد. هذه ليست نتائج خاصة بـ SITA. إنها فئات سيطرة للحكم على ما إذا كان إصلاح ما بعد الحادث للمورد واسعًا بما يكفي.

حقائق مؤكدة، استدلال مدعوم، ومجهولات

تشمل الحقائق العامة المؤكدة بيان SITA الخاص بأنها تعرضت لهجوم إلكتروني متطور في أوائل 2021 يتضمن بعض بيانات الركاب المخزنة على خوادم نظام خدمة الركاب. تشمل الحقائق العامة المؤكدة أيضًا بيان SITA بأنه تم بدء إجراءات احتواء مستهدفة، وأنه تم إطلاق مراجعة مستقلة، وشكل مجلس الإدارة لجنة للأمن السيبراني، وتم إنشاء برنامج محسّن لتحسين الأمن المؤسسي. تؤكد إشعارات شركات الطيران والتقارير الموثوقة أن العديد من شركات الطيران أخبرت الركاب أو أعضاء المسافر الدائم أن البيانات المرتبطة بـ SITA PSS قد تأثرت. تؤكد التقارير العامة أيضًا أن بعض إشعارات شركات الطيران وصفت بيانات محدودة للمسافر الدائم بينما وصفت التقارير المتعلقة بـ Air India حوالي 4.

5 مليون من أصحاب البيانات المتأثرين وفئات بيانات ركاب أوسع لتلك الشركة.

يشمل الاستدلال المدعوم استنتاج أن فصل مستأجري شركات الطيران وسياسة الاحتفاظ بالبيانات وتبادل بيانات التحالف وجودة إخطار المورد وأدلة نطاق الاختراق والتوثيق المواجه للجهات التنظيمية كانت أسطح مساءلة مركزية. يتبع هذا الاستدلال من نوع النظام المتأثر ونمط الإشعار عبر شركات الطيران والإطار القانوني للمعالج والمراقب وبرنامج الإصلاح على مستوى مجلس إدارة SITA. لا يتطلب الادعاء بالوصول إلى المواد الجنائية الخاصة لـ SITA.

تبقى مجهولات. لا يكشف السجل العام عن طريقة الوصول الأولية بالضبط، أو القائمة الكاملة للخوادم المتأثرة، أو وقت بقاء المهاجم بالكامل، أو خريطة مستأجري شركات الطيران الكاملة، أو جميع حقول البيانات حسب شركة الطيران، أو جميع مبررات الاحتفاظ، أو جميع إخطارات الجهات التنظيمية، أو جميع الجداول الزمنية التعاقدية للإخطار، أو تقرير المراجعة المستقلة، أو قائمة إجراءات ESIP+ الكاملة وأدلة الإنجاز. لا يظهر السجل العام أيضًا ما إذا كان كل فرد متأثر قد تلقى نفس الجودة من الإشعار أو ما إذا كان كل إشعار لشركة طيران استند إلى نفس معيار الأدلة.

تلك المجهولات ليست فجوات لملئها بالتخمين. إنها الفئات التي يجب أن يحتفظ بها ملف مساءلة كامل. يمكن للمورد أن يكون صريحًا بشأن المجهولات مع التصرف بمسؤولية. المهم هو ما إذا كان المورد وشركات الطيران يفصلون الحقائق المؤكدة عن الافتراضات ويحدثون الأطراف المتأثرة عندما يتغير النطاق.

ما يجب أن يثبته الإصلاح الدائم

يجب أن يثبت ملف الإصلاح الدائم بعد حادث SITA حقائق موقع البيانات وتدفق البيانات أولاً. يجب أن يحدد بيئات SITA PSS التي خزنت بيانات أي شركة طيران، والأنظمة المتأثرة، ومستأجري شركات الطيران غير المتأثرين، وبيانات التحالف التي انتقلت إلى أنظمة شركات الطيران العملاء، وكيف اختلفت حقول البيانات حسب شركة الطيران. يجب أن يخطط الأسماء وأرقام العضوية ومستوى الحالة وبيانات جواز السفر وبيانات التذكرة وبيانات الاتصال وبيانات الدفع وبيانات الولاء بشكل منفصل بدلاً من معاملة بيانات الركاب كوعاء واحد.

على طبقة السيطرة، يجب أن يظهر الملف عزل المستأجرين، والوصول بأقل امتياز، ومراقبة الجلسات المميزة، وتدوير بيانات الاعتماد، وحدود التشفير وإدارة المفاتيح، والتجزئة بين مجموعات بيانات شركات الطيران، والنسخ الاحتياطي والاحتفاظ بالسجلات، ومراجعة الوصول الإداري، وإدارة الثغرات، وضوابط دورة حياة البرامج الآمنة. إذا كان المورد يستخدم نماذج نشر سحابية أو هجينة، يجب أن يميز الملف بين مسؤولية مزود السحابة ومسؤولية SITA ومسؤولية شركة الطيران.

على طبقة الكشف، يجب أن يظهر الملف متى تم ملاحظة النشاط المشبوه لأول مرة، ومتى تم تأكيد خطورة الحادث، وأي سجلات دعمت الاحتواء، وأي مؤشرات تم مشاركتها، وما راجعه الخبراء الخارجيون، وكيف أثبتت SITA أن الهجوم توقف. على طبقة الإخطار، يجب أن يظهر متى تم إخطار كل شركة طيران، وما فئات البيانات التي تم الإبلاغ عنها، وما عدم اليقين الذي تم الكشف عنه، ومتى صدرت التحديثات، وكيف تمت ترجمة أدلة المورد إلى إشعارات الركاب.

على طبقة الحوكمة، يجب أن يظهر الملف كيف غيرت مراجعة مجلس الإدارة التمويل ومتطلبات أمان المنتج وإعداد التقارير للأعضاء وضوابط دورة حياة التكنولوجيا والرقابة الدائمة. يصف بيان رئيس مجلس إدارة SITA لعام 2021 هيكل استجابة الحوكمة تلك. الدليل العام المفقود هو التفاصيل التشغيلية: ما الذي تغير، وكيف تم قياس الإنجاز، وكيف تحقق مجلس الإدارة من أن الضوابط لم تكن مخططة فقط بل فعالة.

على طبقة الراكب، يجب أن يظهر ملف الإصلاح ما إذا كان العملاء قد تلقوا نصائح قابلة للتنفيذ معايرة حسب الخطر الفعلي. يحتاج عضو المسافر الدائم الذي تأثر رقم عضويته ومستوى حالته إلى نصيحة مختلفة عن راكب Air India الذي قد تكون بيانات جواز سفره وتذكرته وتاريخ ميلاده واتصاله وولائه أو دفعه متورطة. يمكن أن يتطلب اختراق مورد واحد نصوص إشعار متعددة. المساءلة تتطلب أن تطابق النصوص الحقائق.

البديل ليس لا مشاركة تكنولوجيا الطيران

سيكون من غير الواقعي استنتاج أن شركات الطيران يجب أن تتجنب تكنولوجيا الطيران المشتركة. يعتمد نظام النقل الجوي على بروتوكولات مشتركة ومنصات معالجة الركاب وأنظمة المطار وتبادل البيانات الحكومية ومزايا الخطوط المشتركة والتحالف وأنظمة الأمتعة وشبكات الاتصالات ومقدمي الطرف الثالث. صفحة SITA الرئيسية على source: sita.aero وصفحات المنتجات تظهر لماذا توجد الشركة: الطيران يحتاج إلى بنية تحتية رقمية مشتركة لنقل الركاب بكفاءة وأمان.

البديل هو بنية تحتية مشتركة ببيانات أضيق، وإيجار أوضح، وعزل قابل للاختبار، وتسليم أدلة أسرع، وانضباط في الإشعارات الموجهة للركاب. لا ينبغي للمورد أن ينتظر اختراقًا لاكتشاف أي بيانات شركة طيران تقع أين. لا ينبغي لشركات الطيران أن تنتظر اختراقًا لتعلم كيف تدخل بيانات التحالف إلى نظام خدمة ركاب ناقل آخر. يجب أن تحدد العقود أدلة الحادث، وليس فقط الإخطار بالحادث. يجب أن تكون الجهات التنظيمية قادرة على إعادة بناء من عرف ماذا ومتى.

تصغير البيانات جزء من ذلك البديل. إذا لم يكن عنصر البيانات مطلوبًا لسير عمل المورد، فلا ينبغي أن يكون موجودًا. إذا كان مطلوبًا لأسباب تشغيلية، فيجب الاحتفاظ به لفترة محددة، وتجزئته عن المستأجرين غير المرتبطين، وحمايته بضوابط مناسبة، وتسجيل الوصول إليه. إذا بقيت بيانات قديمة لأسباب قانونية أو تجارية، فيجب أن تكون قابلة للتحديد كبيانات قديمة بدلاً من خلطها بشكل غير مرئي مع السجلات التشغيلية الحالية.

تركيز المورد هو أيضًا جزء من البديل. يمكن لشركة تخدم العديد من شركات الطيران أن تستثمر في خبرة الأمن، لكن التركيز يعني أن حادث مورد واحد يمكن أن يتطلب من العديد من شركات الطيران إخطار العديد من مجموعات الركاب. يمكن للتركيز تحسين الضوابط فقط إذا كان يحسن الأدلة. يكسب الموردون المشتركون الثقة بجعل النطاق سريعًا ودقيقًا وقابلاً للتدقيق.

إشعار الراكب قوي فقط بقدر ملف المورد

تظهر قضية SITA أيضًا لماذا يجب معاملة إشعارات الركاب كمنتجات أدلة، وليس كمنتجات علاقات عامة. الإشعار الذي يقول إن أنظمة شركة الطيران الخاصة لم تتأثر قد يكون دقيقًا، لكنه لا يزال يمكن أن يربك الركاب إذا لم يشرح لماذا كانت بياناتهم موجودة في بيئة أخرى. الإشعار الذي يقول إن بيانات الولاء فقط تأثرت قد يكون دقيقًا لشركة طيران واحدة، لكنه يصبح مضللاً إذا افترض القراء أن نفس قائمة الحقول تنطبق على كل شركة طيران. الإشعار الذي يقول إن بيانات بطاقات الدفع لم تكن متورطة قد يكون دقيقًا لمجموعة سكانية واحدة، بينما قد تتطلب مجموعة عملاء أخرى بيانًا مختلفًا.

لذلك يجب أن يكون ملف المورد الذي تقوم عليه تلك الإشعارات منظمًا. يجب أن يحتفظ باسم النظام المتأثر، وشركة الطيران العميلة، وحقول البيانات، والنطاق الزمني، ومصدر البيانات، وسبب وجود البيانات، وأدلة الاحتواء، ومستوى الثقة، وتاريخ التحديث. يجب أن يسجل أيضًا أي بيانات هي استبعادات: كلمة المرور غير موجودة، رقم جواز السفر غير موجود، بيانات بطاقة الدفع غير موجودة، مسار الرحلة غير موجود، عنوان البريد الإلكتروني غير موجود، أو رمز الأمان غير مخزن. تحتاج الاستبعادات إلى أدلة تمامًا مثل الإدراجات.

هذا مهم لأن الركاب يتصرفون بناءً على الاستبعادات. إذا قيل للراكب إن كلمة المرور لم تكن متورطة، فقد يقرر عدم تغيير كلمة المرور. إذا قيل للراكب إن رقم جواز السفر لم يكن متورطًا، فقد يقرر عدم الاتصال بسلطات جواز السفر. إذا قيل للراكب إن رقم الولاء والمستوى فقط متورطان، فقد يراقب التصيد لحسابه بدلاً من احتيال بطاقة الدفع. لذلك يمكن أن يؤدي النطاق السيئ إلى قرارات مخاطر شخصية سيئة حتى عندما يكون الإشعار في الوقت المناسب.

تحتاج شركة الطيران أيضًا إلى ملف المورد للتعامل مع الجهات التنظيمية. لا يمكن للمراقب ببساطة تكرار ملخص المورد إذا لم يستطع شرح لماذا تخلق البيانات المتأثرة خطرًا على الأفراد أو لا. يحتاج إلى أساس للقرار. يمكن أن يكون ذلك الأساس تقنيًا وتعاقديًا وتشغيليًا: ما الحقول المخزنة، وكيف كانت مجزأة، وأي سجلات تمت مراجعتها، وما يمكن للمهاجم الوصول إليه، وما إذا كانت البيانات قد نسخت، وما إذا كان التخفيف قد غير الضرر المحتمل.

اختبار المساءلة هو ما إذا كانت أدلة المورد تصمد أمام الترجمة. قد يصف المهندسون قواعد البيانات والمخططات وسجلات الوصول وصور الخوادم. قد يصف المحامون إشعار المعالج وفئات البيانات. قد تصف فرق العملاء ما حدث بلغة بسيطة. قد تطلب الجهات التنظيمية تحليل المخاطر القانوني. قد يسأل الركاب عما يجب فعله بعد ذلك. إذا أنتجت هذه الترجمات ادعاءات غير متسقة، تفشل الاستجابة حتى لو كان عمل الاحتواء الأساسي قويًا.

بيانات الطيران المشتركة تحتاج إلى سلسلة عهدة قابلة لإعادة التشغيل

سلسلة العهدة القابلة لإعادة التشغيل هي الإجابة العملية على الارتباك عبر شركات الطيران. لا تتطلب جعل سجلات الأمن الخاصة علنية. تتطلب أن يكون المورد وشركات الطيران قادرين على إعادة بناء المسار من جمع البيانات إلى تعرض البيانات وإخطارها. بالنسبة لسجل الولاء، يجب أن يظهر الملف أي شركة طيران جمعت بيانات العضو، ولماذا تمت مشاركتها مع شريك تحالف أو عميل نظام ركاب، ومتى دخلت بيئة SITA، وما الحقول المخزنة، ولماذا كانت تلك الحقول مطلوبة. بالنسبة لسجل خدمة الركاب، يجب أن يظهر الملف منطق الحجز وإصدار التذاكر وتسجيل الوصول والوثائق والدفع والاحتفاظ بشكل منفصل.

يجب أن تحدد نفس السلسلة اللحظة التي أصبحت فيها استجابة الاختراق قابلة للتنفيذ قانونيًا وتشغيليًا. يضع بيان رئيس مجلس إدارة SITA تأكيد الخطورة في 24 فبراير 2021. من تلك النقطة، احتاجت شركات الطيران العملاء المتأثرون إلى أدلة. لذلك يجب أن تظهر السلسلة وقت الإخطار والمستلم وملخص حقل البيانات وعدم اليقين والتحديثات اللاحقة وأي تصعيد مواجه للجهات التنظيمية. يجب أن تظهر أيضًا متى يمكن لشركة الطيران إخطار الركاب بمسؤولية ومتى احتاجت إلى تأكيد إضافي من المورد.

سلسلة العهدة هذه ليست تمرينًا عقابيًا. إنها تحمي كل طرف من اللوم الغامض. يمكن للمورد أن يظهر أي حد مستأجر صمد. يمكن لشركة الطيران أن تظهر لماذا أخطرة أو لم تخطر شريحة عميل معينة. يمكن للجهة التنظيمية رؤية مسار القرار. يمكن للراكب رؤية ما إذا كانت النصيحة تطابق البيانات. بدون تلك السلسلة، يصبح الحادث جدلًا حول مسؤولية العلامة التجارية بدلاً من فحص السيطرة.

سجل SITA قيم بالتحديد لأنه كشف طبقة سيطرة مخفية. لم تكن العلامات التجارية المرئية للطيران دائمًا مشغلي الأنظمة للسجلات المتأثرة. لم يكن المورد دائمًا الطرف المقابل المباشر للراكب. يمكن أن يجعل مسار التحالف البيانات موجودة حيث لم يتوقعها الراكب. سلسلة أدلة قابلة لإعادة التشغيل هي الطريقة الوحيدة لجعل تلك البنية مسؤولة دون التظاهر بأنها أبسط مما هي عليه.

المساءلة تتبع سلسلة الأدلة

يجب أن يتبع التوزيع النهائي السيطرة العملية على الأدلة. سيطرت SITA على بيئة نظام خدمة الركاب المتأثرة ومعظم سجل التحقيق. سيطرت شركات الطيران على علاقات العملاء والعديد من إشعارات الركاب. أوضحت التحالفات وترتيبات الخطوط المشتركة لماذا يمكن أن تكون بعض بيانات المسافر الدائم محتجزة خارج أنظمة شركة الطيران الخاصة بالراكب. قدمت الجهات التنظيمية التوقعات القانونية للإخطار بالاختراق وواجبات المعالج والمساءلة. كان لدى الركاب أقل رؤية واضطروا إلى الاعتماد على دقة تسليمات المورد إلى شركات الطيران.

هذا التوزيع لا يعني أن كل شركة طيران كان لديها نفس التعرض أو أن كل راكب متأثر واجه نفس الخطر. يظهر السجل العكس: بعض الإشعارات تضمنت بيانات ولاء مقيدة، بينما تضمنت التقارير المتعلقة بـ Air India فئات بيانات ركاب أوسع. المساءلة تتطلب الحفاظ على تلك الاختلافات بدلاً من إجبار الحدث في رقم واحد.

استجابة الحوكمة العامة لـ SITA هي جزء ذو معنى من سجل الإصلاح، لكنها لا تسد فجوة الأدلة العامة بنفسها. الدرس الدائم هو أن موردي الطيران يجب أن يكونوا قادرين على إثبات حدود المستأجرين، والاحتفاظ بالبيانات، وكشف الحوادث، وإخطار شركات الطيران، وأدلة الجهات التنظيمية، والإصلاح على مستوى مجلس الإدارة. يمكن للعلامات التجارية للطيران الاعتذار للركاب، لكنها لا تستطيع إثبات الحقائق التي تقع داخل سجلات المورد بشكل مستقل. لهذا السبب جعلت SITA بيانات ركاب شركات الطيران اختبارًا لمساءلة المورد.

الدرس الأطول للحادث يتعلق بالبنية التحتية المخفية. يرى ركاب الطيران شركات الطيران، وليس الشبكة الكاملة للأنظمة وراء تسجيل الوصول والتعرف على الولاء وتبادل البيانات ومعالجة الركاب. يجعل الاختراق تلك الشبكة مرئية تحت الضغط. الاستجابة المسؤولة ليست التظاهر بأن الشبكة بسيطة. إنها توثيقها، وتقليل البيانات غير الضرورية، ومراقبتها، وحوكمتها، وإعطاء كل راكب متأثر إشعارًا يعكس المسار الفعلي الذي اتخذته بياناته.