Resumo

Por que este caso pertence a um arquivo de risco e responsabilidade

A SITA pertence a um arquivo de risco e responsabilidade porque os passageiros aéreos raramente escolhem o provedor do sistema de serviço ao passageiro que armazena ou processa partes de seu registro de viagem. Um passageiro compra uma passagem de uma companhia aérea, adere a um programa de fidelidade da companhia aérea, usa um benefício de aliança, faz check-in em um aeroporto, apresenta documentos de viagem e espera que a marca da companhia aérea responda quando algo der errado.

Por trás dessa relação visível, fornecedores como a SITA operam sistemas que suportam fluxos de trabalho de reserva, controle de partida, processamento de passageiros e troca de dados. Quando um incidente de fornecedor afeta dados de passageiros, a questão de responsabilidade prática se torna mais difícil do que em uma violação de marca única: qual parte controlava o ambiente afetado, qual parte controlava o relacionamento com o cliente e qual parte tinha as evidências necessárias para informar os passageiros sobre o que aconteceu?

O registro público mais claro de propriedade da SITA não é uma página curta de incidentes que seja fácil de encontrar. É a declaração do presidente no relatório de atividades de 2021 da empresa em source: sita.aero. Essa declaração reconhece que a SITA foi vítima de um ataque cibernético altamente sofisticado no início de 2021, que o incidente envolveu certos dados de passageiros armazenados em servidores do Sistema de Serviço ao Passageiro da SITA, que a SITA agiu rapidamente após a confirmação da gravidade do incidente e que foram iniciadas medidas de contenção direcionadas.

Também registra ações de governança: uma revisão independente, uma Assembleia Geral Especial em 22 de fevereiro de 2022 para apresentar percepções e ações acordadas aos membros, um Comitê de Segurança Cibernética composto por especialistas em TI do Conselho da SITA e um Programa Aprimorado de Melhoria da Segurança Empresarial com 38 ações em 24 projetos.

Esses fatos são importantes porque colocam o evento na categoria correta. Não foi apenas um problema de comunicação da companhia aérea. Foi um incidente de segurança de dados controlado por fornecedor dentro da infraestrutura de aviação compartilhada. O fornecedor teve que investigar os servidores afetados. As companhias aéreas tiveram que notificar seus próprios clientes e membros de programas de fidelidade. As alianças tiveram que prestar contas sobre as práticas de compartilhamento de dados. Reguladores e equipes de proteção de dados tiveram que entender as responsabilidades de controlador, processador e notificação.

Os passageiros tiveram que interpretar o risco a partir de notificações que muitas vezes diziam que os sistemas de sua própria companhia aérea não foram diretamente afetados.

A questão manifesta é, portanto, prática: quem tinha controle prático sobre a separação de inquilinos das companhias aéreas, a retenção de dados do serviço ao passageiro, a notificação do fornecedor à companhia aérea, a definição do escopo de exposição de programas de fidelidade, as evidências para reguladores e a prova de que um provedor de TI de aviação não se tornou um ponto cego compartilhado? A resposta pública é dividida. A SITA controlava o ambiente SITA PSS afetado e grande parte da evidência forense. As companhias aéreas controlavam seus relacionamentos com os passageiros e muitas comunicações com os titulares dos dados.

Os processos de aliança ajudaram a explicar por que alguns dados poderiam estar presentes no sistema de passageiros de outra transportadora. Os reguladores forneceram o vocabulário legal para notificação de violação, deveres do processador e responsabilidade. Os passageiros não controlavam quase nenhuma das evidências relevantes.

A linha do tempo começa com a detecção pelo fornecedor, não com a conscientização do passageiro

A linha do tempo pública começa com a confirmação da SITA de que a gravidade do incidente foi estabelecida em 24 de fevereiro de 2021 e que os clientes SITA PSS afetados e organizações relacionadas foram contatados. A reportagem do TechCrunch em source: techcrunch.com capturou a janela de divulgação pública inicial e descreveu a SITA confirmando uma violação envolvendo dados de passageiros armazenados em servidores nos EUA.

A SecurityWeek em source: securityweek.com e a Infosecurity Magazine em source: infosecurity-magazine.com também registraram a declaração da SITA de que dados do Sistema de Serviço ao Passageiro estavam envolvidos e que a contenção e a investigação estavam em andamento.

O atraso entre a confirmação do fornecedor e a compreensão do passageiro é a superfície de responsabilidade. Um fornecedor pode notificar rapidamente as companhias aéreas clientes afetadas. Uma companhia aérea pode então ter que determinar se seus próprios clientes são afetados, quais elementos de dados estavam presentes, se era um cliente direto SITA PSS, se os dados estavam presentes por meio de acordos de aliança, se os limites de notificação regulatória foram atingidos, qual linguagem o cliente deve usar e se os clientes precisam alterar senhas ou cartões de pagamento. O passageiro vê o final dessa cadeia, não as transferências internas.

O relatório da PhocusWire em source: phocuswire.com é útil porque mostra que o evento não se limitou às companhias aéreas que usavam SITA PSS diretamente. Ele relatou que a violação afetou várias companhias aéreas, incluindo algumas cujos dados de viajantes frequentes passaram pelo ambiente violado devido à troca de dados de alianças. A Singapore Airlines, por exemplo, disse que, embora não fosse cliente SITA PSS, um conjunto restrito de dados de viajantes frequentes foi compartilhado dentro da Star Alliance e poderia residir no sistema de serviço ao passageiro de outra companhia aérea membro. Essa distinção é central para a responsabilidade.

Um passageiro pode ser afetado por um relacionamento com fornecedor que sua própria companhia aérea não tem no sentido comum de relacionamento com o cliente.

A reportagem do The Guardian em source: theguardian.com registrou notificações voltadas aos passageiros que limitavam algumas exposições ao número de associação do programa de fidelidade, status de nível e nome. A reportagem do BleepingComputer em source: bleepingcomputer.com identificou várias transportadoras que informaram os passageiros sobre a exposição ligada à SITA. Esses relatórios não substituem os logs privados da SITA, mas mostram a cronologia pública: incidente do fornecedor, notificação da companhia aérea, explicação da aliança, enquadramento do risco do passageiro.

Dados de viajantes frequentes não são triviais só porque não são uma senha

Várias notificações de companhias aéreas enfatizaram que os dados expostos não incluíam senhas, dados de cartão de pagamento, números de passaporte, itinerários, reservas, detalhes de emissão de bilhetes ou endereços de e-mail para determinados grupos afetados. Essa limitação é importante e deve ser creditada. A reportagem relacionada à Singapore Airlines em source: business-standard.com disse que as informações afetadas se limitavam ao número de associação, status de nível e, em alguns casos, nome de associação para cerca de 580.000 membros KrisFlyer e PPS.

As notificações aos clientes da Air New Zealand descritas em source: theguardian.com usaram limites semelhantes para dados de viajantes frequentes afetados.

Mas os dados de viajantes frequentes não são metadados sem sentido. Um número de associação, status de nível e nome podem revelar um relacionamento comercial, direito de viagem, identificador de conta, valor de fidelidade e contexto de engenharia social. Eles podem ajudar um invasor a escrever mensagens de suporte de conta mais plausíveis. Eles podem ajudar a identificar viajantes de alto valor. Eles podem ser combinados com outros conjuntos de dados. Eles também podem expor o fato de que os benefícios de aliança exigem que os dados se movam além da companhia aérea que emitiu a conta de fidelidade.

A questão de responsabilidade, portanto, não é se os piores elementos de dados possíveis foram expostos em cada notificação de companhia aérea. A questão é se cada população de dados foi escopo e explicada com precisão. Para algumas transportadoras, o registro público apontava para um conjunto restrito de dados de viajantes frequentes. Para a Air India, o registro público posteriormente descreveu um conjunto muito mais amplo de dados de passageiros. Essa diferença prova por que uma única narrativa genérica de violação da SITA é insuficiente.

Reportagens relacionadas à Air India em source: bleepingcomputer.com, source: livemint.com e source: forbes.com disseram que a Air India informou os clientes de que o SITA PSS, seu processador de dados do sistema de serviço ao passageiro, havia sofrido um ataque cibernético e que cerca de 4,5 milhões de titulares de dados em todo o mundo foram afetados.

Relatos públicos descreveram categorias expostas que podiam incluir nome, data de nascimento, informações de contato, informações de passaporte, informações de bilhete, dados de viajantes frequentes e dados de cartão de crédito, observando que os códigos de segurança do cartão não eram mantidos pelo SITA PSS. Esses fatos não devem ser misturados com os avisos mais limitados de apenas fidelidade de outras companhias aéreas. Eles mostram por que o escopo deve ser específico por companhia aérea e por categoria de dados.

Os limites de inquilino tornam-se visíveis somente após a violação

Os sistemas de serviço ao passageiro criam um desafio de responsabilidade porque o limite do inquilino é menos visível para o passageiro do que para engenheiros e equipes de contratos. Um passageiro pode assumir que a companhia aérea detém o registro. A companhia aérea pode usar um fornecedor. O fornecedor pode hospedar vários clientes de companhias aéreas. Os parceiros de aliança podem compartilhar um subconjunto restrito de dados. Aeroportos e manipuladores de solo podem depender de dados de processamento de passageiros. Os governos podem receber informações antecipadas sobre passageiros.

O sistema é projetado para fazer a viagem parecer unificada. Uma violação força a arquitetura de dados a se tornar pública.

A página atual de produto de processamento de passageiros da SITA em source: sita.aero não é um registro forense do incidente de 2021, mas ilustra por que os sistemas de processamento de passageiros são consequentes. A página descreve check-in e embarque automatizados, implantação em nuvem ou local, transmissão de dados de passageiros, integração com outros produtos de processamento de passageiros e recursos de resiliência para operações de controle de partida.

Esses recursos demonstram o tipo de superfície operacional que um provedor de sistema de passageiros pode ocupar: identidade, status de partida, check-in, embarque, sistemas de companhias aéreas, fluxos de dados governamentais e operações aeroportuárias.

O artigo não afirma que o SITA Maestro esteve envolvido no incidente de 2021. Ele usa o contexto do produto para explicar a classe de dependência. A automação de processamento de passageiros pode ser implantada em diferentes arquiteturas, mas o problema de responsabilidade é constante: o sistema do fornecedor pode ser operacionalmente central enquanto a relação de confiança do passageiro permanece com a companhia aérea. Quando o fornecedor tem os logs e a companhia aérea tem o cliente, a qualidade da notificação depende da disciplina de transferência.

A questão do limite de inquilino tem pelo menos cinco partes. Primeiro, quais dados de companhias aéreas estavam nos servidores SITA PSS afetados? Segundo, quais dados estavam presentes porque a companhia aérea era cliente SITA PSS e quais dados estavam presentes devido a acordos de compartilhamento de dados de alianças ou interline? Terceiro, quais identificadores de passageiros estavam vinculados a documentos de viagem, bilhetes, registros de pagamento, credenciais de conta ou detalhes de contato? Quarto, quais servidores, bancos de dados, aplicativos ou caminhos de suporte cruzaram os limites das companhias aéreas?

Quinto, como a SITA provou para cada companhia aérea que inquilinos de companhias aéreas não relacionados ou categorias de dados não relacionadas não foram afetados?

Essas perguntas não são acusações. São as categorias de evidência necessárias para um escopo responsável. Um fornecedor pode afirmar que apenas certos dados de passageiros foram afetados. As companhias aéreas podem afirmar que seus próprios sistemas não foram afetados. Ambas as afirmações podem ser verdadeiras, mas o público ainda precisa entender a arquitetura que as torna verdadeiras ao mesmo tempo.

Controlador, processador e passageiro não são o mesmo papel

O registro do GDPR é importante porque muitas companhias aéreas, passageiros e fluxos de dados afetados estão ou tocam jurisdições onde os deveres de controlador e processador moldam a resposta a violações. O texto oficial do GDPR em source: eur-lex.europa.eu define o quadro jurídico, incluindo responsabilidades para controladores e processadores, segurança do processamento e notificação de violações de dados pessoais. As diretrizes do EDPB sobre controlador e processador em source: edpb.europa.eu explicam que esses conceitos determinam quem é responsável pela conformidade e como os titulares dos dados podem exercer seus direitos na prática.

As diretrizes de notificação de violação do EDPB em source: edpb.europa.eu são úteis porque enfatizam que os processadores notificam os controladores sem demora injustificada após tomarem conhecimento de uma violação e que o risco para os indivíduos impulsiona as decisões de notificação.

Esse vocabulário legal se encaixa no caso SITA sem resolver o papel legal exato de cada companhia aérea em cada jurisdição. A SITA pode atuar como processadora para alguns dados de serviço ao passageiro de companhias aéreas. As companhias aéreas podem atuar como controladoras para seus registros de clientes e fidelidade. A troca de dados de aliança pode criar questões adicionais de alocação. Os passageiros são titulares dos dados, clientes, membros de fidelidade ou indivíduos afetados, dependendo do contexto. O arquivo de responsabilidade correto deve preservar essas distinções.

As notificações das companhias aéreas geralmente usam linguagem prática em vez de taxonomia legal. Elas informam os clientes sobre quais dados estavam envolvidos, quais não estavam, se os sistemas da própria companhia aérea foram afetados e se o cliente deve tomar alguma atitude. Isso é necessário. Mas, por trás da notificação, o controlador precisa ser capaz de justificar a avaliação de risco. Se um processador fornecer evidências incompletas, o controlador não pode dar uma notificação confiável. Se um controlador atrasar ou suavizar a notificação porque o fornecedor não terminou o escopo, os passageiros carregam a incerteza.

O incidente da SITA testa, portanto, a cadeia de evidências do processador para o controlador. A SITA teve que fornecer fatos às companhias aéreas. As companhias aéreas tiveram que traduzir esses fatos em notificações voltadas aos passageiros. Os reguladores podem perguntar se as notificações foram oportunas e adequadas. Os passageiros não puderam inspecionar os logs originais. É por isso que a responsabilidade do fornecedor não pode ser reduzida a "avisamos nossos clientes". Exige prova de que as notificações do fornecedor foram completas o suficiente para que os controladores downstream cumpram seus deveres.

A Air India mudou o denominador

A primeira onda de atenção pública focou nos dados de viajantes frequentes de várias transportadoras da Star Alliance e da oneworld. A Air India mudou o denominador público. O relatório do BleepingComputer sobre a Air India em source: bleepingcomputer.com disse que a Air India divulgou que aproximadamente 4,5 milhões de clientes foram impactados após o hack do SITA PSS. O relatório do Mint em source: livemint.com reproduziu a linguagem da Air India descrevendo o SITA PSS como o processador de dados do sistema de serviço ao passageiro e disse que o incidente afetou cerca de 4,5 milhões de titulares de dados em todo o mundo.

A Forbes em source: forbes.com colocou a divulgação no contexto mais amplo do hack da SITA.

Esse denominador é importante por três razões. Primeiro, sugere que um cliente SITA PSS pode ter registros de passageiros mais amplos no ambiente afetado do que conjuntos de dados de apenas fidelidade de aliança. Segundo, envolveu dados por um longo período de registro, de acordo com relatos públicos, o que levanta questões de retenção e minimização. Terceiro, forçou uma distinção entre dados de cartão de pagamento e dados de código de segurança do cartão. Relatos públicos disseram que informações de cartão de crédito podiam estar envolvidas, mas que os números CVV ou CVC não eram armazenados pelo SITA PSS.

A diferença entre 580.000 registros restritos de fidelidade e 4,5 milhões de titulares de dados de passageiros mais amplos não é uma contradição em si. Diferentes companhias aéreas podem ter diferentes categorias de dados, períodos de retenção, configurações de fornecedor e limites de notificação. A falha de responsabilidade seria colapsá-los em uma única estatística indiferenciada.

Um incidente de fornecedor pode produzir múltiplos denominadores: companhias aéreas clientes notificadas, passageiros afetados por companhia aérea, membros de programas de fidelidade afetados, categorias de dados expostas, registros dentro de cada categoria, intervalos de datas, reguladores notificados e clientes que necessitam de aconselhamento de remediação.

A Air India também levanta a questão da retenção de dados. A reportagem pública disse que o período de registro afetado foi de 2011 ao início de 2021. Uma janela de uma década é um sinal de responsabilidade. Os sistemas de serviço ao passageiro podem reter registros por razões legítimas de negócios, regulatórias, de fidelidade, de liquidação, de documentos de viagem, de disputas ou de arquivamento.

Mas quando dados de longa duração são expostos, o registro deve explicar por que esses campos existiam, quem aprovou a retenção, se os registros de passageiros inativos foram minimizados e se os dados antigos foram segregados dos fluxos operacionais atuais.

As notificações das companhias aéreas tiveram que separar o que era conhecido do que era excluído

As melhores notificações das companhias aéreas fizeram duas coisas ao mesmo tempo: nomearam os dados envolvidos e nomearam os dados excluídos. Para a Singapore Airlines, a reportagem pública disse que os dados envolvidos se limitavam ao número de associação, status de nível e, em alguns casos, nome de associação, e que senhas, informações de cartão de crédito, números de passaporte, itinerários, reservas, emissão de bilhetes e endereços de e-mail não estavam envolvidos para essa transferência de dados. Para a Air New Zealand, o Guardian relatou limitações semelhantes para nome, status de nível e número de associação.

Para a British Airways e a Finnair, a PhocusWire relatou que as informações acessadas não incluíam detalhes financeiros ou senhas.

Esse trabalho de exclusão não é cosmético. É uma triagem de risco. Os passageiros agem de forma diferente dependendo se senhas, números de passaporte, dados de pagamento, itinerários, detalhes de contato ou apenas dados de nível de fidelidade estão envolvidos. Os reguladores também avaliam o risco de notificação de forma diferente, dependendo da categoria de dados, identificabilidade, dano provável, mitigação e contexto. Uma notificação vaga pode alarmar excessivamente os clientes ou deixá-los desprotegidos.

Ainda assim, as exclusões são tão fortes quanto a evidência por trás delas. Se uma companhia aérea diz que as senhas não foram afetadas, ela deve confiar na arquitetura do sistema, nos mapas de fluxo de dados, nos logs do fornecedor e no escopo do incidente. Se diz que os números de passaporte não foram compartilhados com parceiros de aliança, deve provar a especificação de compartilhamento de dados. Se diz que seus próprios sistemas de TI não foram afetados, deve distinguir o comprometimento direto da exposição de dados por meio do sistema de um parceiro.

A qualidade da evidência do fornecedor molda diretamente a confiança do cliente na notificação da companhia aérea.

A página de proteção de dados e privacidade da IATA em source: iata.org é relevante aqui porque enquadra a privacidade de dados como uma questão de passageiros e companhias aéreas no transporte aéreo transfronteiriço. A aviação não é um ambiente local de controlador único. Os dados de passageiros circulam por companhias aéreas, aeroportos, governos, provedores de serviços, alianças, agentes de viagens, manipuladores de solo e fornecedores de tecnologia. Uma notificação de violação que não explique o caminho dos dados deixa o passageiro com confusão de marca.

A resposta do conselho do fornecedor faz parte do registro de controle

A declaração do presidente da SITA é excepcionalmente importante porque documenta o acompanhamento da governança. Diz que o Conselho da SITA iniciou uma revisão independente e permaneceu ativamente envolvido. Diz que uma Assembleia Geral Especial foi realizada em 22 de fevereiro de 2022 para apresentar as percepções obtidas, os aprendizados gerais e as ações acordadas aos membros. Diz que um Comitê de Segurança Cibernética foi formado a partir de especialistas em TI do conselho e se tornou um comitê permanente.

Diz que esse comitê supervisionaria a implementação do Programa Aprimorado de Melhoria da Segurança Empresarial e reportaria regularmente ao conselho. Diz que o programa incluía 38 ações em 24 projetos envolvendo melhorias de segurança nos ciclos de vida de portfólio e tecnologia, posicionamento de resposta para ameaças emergentes e implementação contínua de melhores práticas.

Esse registro público de governança não conta toda a história forense. Não divulga o caminho de intrusão, os bancos de dados exatos afetados, a lista completa de inquilinos de companhias aéreas, todas as falhas de controle, todas as ações de remediação ou as conclusões da revisão independente. Mas move o incidente de um evento de comunicação para um programa de reparo supervisionado pelo conselho. Isso é importante em um caso de responsabilidade de fornecedor.

Um provedor de aviação compartilhado deve mostrar que o reparo é governado no nível onde o apetite ao risco, investimento, comunicação com membros e decisões de ciclo de vida do produto são tomados.

A existência de um comitê do conselho também mostra a lição correta: a segurança dos dados dos passageiros não pode ser isolada dentro de uma equipe de resposta a incidentes. Ela afeta o design do produto, a arquitetura, a aquisição, as relações com os membros, as obrigações legais, a engenharia de segurança, o monitoramento e o suporte ao cliente. O programa de 38 ações sugere que o arquivo de reparo teve que cobrir vários domínios. O público não pode verificar a adequação de cada ação, mas a estrutura é evidência relevante.

O NIST Cybersecurity Framework em source: nist.gov e o NIST SP 800-53 Rev. 5 em source: csrc.nist.gov fornecem um vocabulário útil para o que esse programa de reparo deve cobrir: identificação de ativos, controle de acesso, auditoria e responsabilidade, gerenciamento de configuração, resposta a incidentes, integridade do sistema e da informação, avaliação de risco, planejamento de contingência e risco da cadeia de suprimentos. Estes não são conclusões específicas da SITA. São categorias de controle para julgar se o reparo pós-incidente de um fornecedor é abrangente o suficiente.

Fatos confirmados, inferência apoiada e incógnitas

Os fatos públicos confirmados incluem a própria declaração da SITA de que sofreu um ataque cibernético altamente sofisticado no início de 2021 envolvendo certos dados de passageiros armazenados em servidores do Sistema de Serviço ao Passageiro da SITA. Fatos públicos confirmados também incluem a declaração da SITA de que foram iniciadas medidas de contenção direcionadas, uma revisão independente foi lançada, o conselho formou um Comitê de Segurança Cibernética e um Programa Aprimorado de Melhoria da Segurança Empresarial foi criado.

Notificações de companhias aéreas e relatórios autorizados confirmam que várias companhias aéreas informaram passageiros ou membros de programas de fidelidade de que dados conectados ao SITA PSS haviam sido afetados. A reportagem pública também confirma que algumas notificações de companhias aéreas descreveram dados limitados de viajantes frequentes, enquanto a reportagem relacionada à Air India descreveu cerca de 4,5 milhões de titulares de dados afetados e categorias mais amplas de dados de passageiros para essa companhia aérea.

A inferência apoiada inclui a conclusão de que a separação de inquilinos de companhias aéreas, a política de retenção de dados, a troca de dados de alianças, a qualidade da notificação do fornecedor, a evidência de escopo da violação e a documentação voltada aos reguladores foram superfícies centrais de responsabilidade. Essa inferência decorre do tipo de sistema afetado, do padrão de notificação entre companhias aéreas, do quadro legal processador-controlador e do próprio programa de remediação em nível de conselho da SITA. Não exige reivindicar acesso a materiais forenses privados da SITA.

As incógnitas permanecem. O registro público não revela o método exato de acesso inicial, a lista completa de servidores afetados, o tempo de permanência completo do invasor, o mapa completo de inquilinos de companhias aéreas, todos os campos de dados por companhia aérea, todas as justificativas de retenção, todas as notificações regulatórias, todos os prazos contratuais de notificação, o relatório de revisão independente ou a lista completa de ações do ESIP+ e evidências de conclusão.

O registro público também não mostra se cada indivíduo afetado recebeu exatamente a mesma qualidade de notificação ou se a notificação de cada companhia aérea se baseou no mesmo padrão de evidência.

Essas incógnitas não são lacunas a serem preenchidas com especulação. São as categorias que um arquivo de responsabilidade completo deve preservar. Um fornecedor pode ser franco sobre as incógnitas enquanto ainda age de forma responsável. O que importa é se o fornecedor e as companhias aéreas separam os fatos confirmados das suposições e atualizam as partes afetadas quando o escopo muda.

O que um reparo durável deve provar

Um arquivo de reparo durável após o incidente da SITA deve primeiro provar fatos de localização e fluxo de dados. Deve identificar quais ambientes SITA PSS armazenavam quais dados de companhias aéreas, quais sistemas foram afetados, quais inquilinos de companhias aéreas não foram afetados, quais dados de aliança entraram nos sistemas das companhias aéreas clientes e como os campos de dados diferiam por companhia aérea.

Deve mapear nomes, números de associação, status de nível, dados de passaporte, dados de bilhete, dados de contato, dados de pagamento e dados de fidelidade separadamente, em vez de tratar os dados de passageiros como um único balde.

Na camada de controle, o arquivo deve mostrar isolamento de inquilinos, acesso com privilégio mínimo, monitoramento de sessões privilegiadas, rotação de credenciais, limites de criptografia e gerenciamento de chaves, segmentação entre conjuntos de dados de companhias aéreas, retenção de backups e logs, revisão de acesso administrativo, gerenciamento de vulnerabilidades e controles seguros de ciclo de vida de software. Se um fornecedor usa modelos de implantação em nuvem ou híbridos, o arquivo deve distinguir a responsabilidade do provedor de nuvem, a responsabilidade da SITA e a responsabilidade da companhia aérea.

Na camada de detecção, o arquivo deve mostrar quando a atividade suspeita foi observada pela primeira vez, quando a gravidade do incidente foi confirmada, quais logs apoiaram a contenção, quais indicadores foram compartilhados, quais especialistas externos revisaram e como a SITA provou que o ataque havia parado. Na camada de notificação, deve mostrar quando cada companhia aérea foi notificada, quais categorias de dados foram relatadas, qual incerteza foi divulgada, quando as atualizações foram emitidas e como a evidência do fornecedor foi traduzida em notificações aos passageiros.

Na camada de governança, o arquivo deve mostrar como a revisão do conselho mudou o financiamento, os requisitos de segurança do produto, os relatórios dos membros, os controles de ciclo de vida da tecnologia e a supervisão permanente. A declaração do presidente da SITA de 2021 descreve o esqueleto dessa resposta de governança. A evidência pública ausente é o detalhe operacional: o que mudou, como a conclusão foi medida e como o conselho verificou que os controles não foram apenas planejados, mas eficazes.

Na camada do passageiro, o arquivo de reparo deve mostrar se os clientes receberam conselhos acionáveis calibrados para o risco real. Um membro de programa de fidelidade cujo número de associação e nível foram afetados precisa de conselhos diferentes de um passageiro da Air India cujos dados de passaporte, bilhete, data de nascimento, contato, fidelidade ou pagamento podem ter sido envolvidos. Uma única violação de fornecedor pode exigir vários scripts de notificação. A responsabilidade exige que os scripts correspondam aos fatos.

O contrafactual não é nenhuma TI de aviação compartilhada

Seria irrealista concluir que as companhias aéreas devem evitar tecnologia de aviação compartilhada. O sistema de transporte aéreo depende de protocolos comuns, plataformas de processamento de passageiros, sistemas aeroportuários, troca de dados governamentais, benefícios de interline e alianças, sistemas de bagagem, redes de comunicação e provedores terceirizados. A própria página inicial da SITA em source: sita.aero e as páginas de produto mostram por que a empresa existe: a aviação precisa de infraestrutura digital compartilhada para mover passageiros de forma eficiente e segura.

O contrafactual é infraestrutura compartilhada com dados mais restritos, locação mais clara, isolamento testável, transferência de evidências mais rápida e disciplina de notificação voltada ao passageiro. Um fornecedor não deve esperar por uma violação para descobrir quais dados de companhias aéreas estão onde. As companhias aéreas não devem esperar por uma violação para aprender como os dados de aliança entram no sistema de serviço ao passageiro de outra transportadora. Os contratos devem definir evidências de incidente, não apenas notificação de incidente. Os reguladores devem ser capazes de reconstruir quem sabia o quê e quando.

A minimização de dados faz parte desse contrafactual. Se um elemento de dados não é necessário para um fluxo de trabalho do fornecedor, ele não deve estar presente. Se é necessário por razões operacionais, deve ser retido por um período definido, segmentado de inquilinos não relacionados, protegido com controles apropriados e registrado para acesso. Se dados antigos permanecem por razões legais ou de negócios, devem ser identificáveis como dados antigos, em vez de misturados invisivelmente com registros operacionais atuais.

A concentração de fornecedores também faz parte do contrafactual. Uma empresa que atende muitas companhias aéreas pode investir em segurança especializada, mas a concentração significa que um incidente de fornecedor pode exigir que muitas companhias aéreas notifiquem muitas populações de passageiros. A concentração pode melhorar os controles somente se melhorar a evidência. Fornecedores compartilhados ganham confiança tornando o escopo rápido, preciso e auditável.

A notificação ao passageiro é tão forte quanto o arquivo do fornecedor

O caso SITA também mostra por que as notificações aos passageiros devem ser tratadas como produtos de evidência, não como produtos de relações públicas. Uma notificação que diz que os sistemas da própria companhia aérea não foram afetados pode ser precisa, mas ainda pode confundir os passageiros se não explicar por que seus dados estavam presentes em outro ambiente. Uma notificação que diz que apenas dados de fidelidade foram afetados pode ser precisa para uma companhia aérea, mas se torna enganosa se os leitores assumirem que a mesma lista de campos se aplica a todas as companhias aéreas.

Uma notificação que diz que dados de cartão de pagamento não estavam envolvidos pode ser precisa para uma população de dados, enquanto outra população de clientes pode exigir uma declaração diferente.

O arquivo do fornecedor por trás dessas notificações deve, portanto, ser estruturado. Deve preservar o nome do sistema afetado, a companhia aérea cliente, os campos de dados, o intervalo de datas, a origem dos dados, a razão pela qual os dados estavam presentes, a evidência de contenção, o nível de confiança e o histórico de atualizações. Deve também registrar quais declarações são exclusões: senha não presente, número de passaporte não presente, dados de cartão de pagamento não presentes, itinerário não presente, endereço de e-mail não presente ou código de segurança não armazenado.

As exclusões precisam de evidência tanto quanto as inclusões.

Isso é importante porque os passageiros agem com base nas exclusões. Se um passageiro é informado de que nenhuma senha esteve envolvida, ele pode decidir não alterar uma senha. Se um passageiro é informado de que nenhum número de passaporte esteve envolvido, ele pode decidir não contatar as autoridades de passaporte. Se um passageiro é informado de que apenas um número de fidelidade e nível estiveram envolvidos, ele pode ficar atento a phishing de conta em vez de fraude de cartão de pagamento. Um escopo ruim pode, portanto, produzir decisões de risco pessoal ruins mesmo quando a notificação é oportuna.

A companhia aérea também precisa do arquivo do fornecedor para engajamento regulatório. Um controlador não pode simplesmente repetir o resumo de um fornecedor se não puder explicar por que os dados afetados criam ou não risco para os indivíduos. Precisa de uma base para a decisão. Essa base pode ser técnica, contratual e operacional: quais campos foram armazenados, como foram segregados, quais logs foram revisados, o que o atacante poderia acessar, se os dados foram copiados e se a mitigação mudou o dano provável.

O teste de responsabilidade é se a evidência do fornecedor sobrevive à tradução. Engenheiros podem descrever bancos de dados, esquemas, logs de acesso e imagens de servidores. Advogados podem descrever a notificação do processador e as categorias de dados. As equipes de atendimento ao cliente podem descrever o que aconteceu em linguagem simples. Os reguladores podem pedir a análise de risco legal. Os passageiros podem perguntar o que fazer a seguir. Se essas traduções produzirem alegações inconsistentes, a resposta falha mesmo que o trabalho de contenção subjacente tenha sido forte.

Dados de aviação compartilhados precisam de uma cadeia de custódia reproduzível

Uma cadeia de custódia reproduzível é a resposta prática para a confusão entre companhias aéreas. Não exige tornar os logs de segurança privados públicos. Exige que o fornecedor e as companhias aéreas sejam capazes de reconstruir o caminho desde a coleta de dados até a exposição e notificação. Para um registro de fidelidade, o arquivo deve mostrar qual companhia aérea coletou os dados do membro, por que foram compartilhados com um parceiro de aliança ou cliente do sistema de passageiros, quando entraram no ambiente SITA, quais campos foram armazenados e por que esses campos eram necessários.

Para um registro de serviço ao passageiro, o arquivo deve mostrar a lógica de reserva, emissão de bilhetes, check-in, documentos, pagamento e retenção separadamente.

A mesma cadeia deve identificar o momento em que a resposta à violação se tornou legal e operacionalmente acionável. A declaração do presidente da SITA coloca a confirmação da gravidade em 24 de fevereiro de 2021. A partir desse ponto, as companhias aéreas clientes afetadas precisavam de evidências. A cadeia deve, portanto, mostrar o tempo de notificação, destinatário, resumo dos campos de dados, incerteza, atualizações subsequentes e qualquer escalação voltada ao regulador. Deve também mostrar quando uma companhia aérea poderia notificar passageiros de forma responsável e quando precisava de confirmação adicional do fornecedor.

Essa cadeia de custódia não é um exercício punitivo. Protege cada parte de culpa vaga. Um fornecedor pode mostrar qual limite de inquilino se manteve. Uma companhia aérea pode mostrar por que notificou ou não um segmento de cliente. Um regulador pode ver o caminho de decisão. Um passageiro pode ver se o conselho corresponde aos dados. Sem essa cadeia, o incidente se torna um argumento sobre responsabilidade da marca, em vez de um exame de controle.

O registro SITA é valioso precisamente porque expôs uma camada de controle oculta. As marcas de aviação visíveis nem sempre eram as operadoras do sistema para os registros afetados. O fornecedor nem sempre era a contraparte direta do passageiro. O caminho da aliança podia tornar os dados presentes onde o passageiro não esperava. Uma cadeia de evidências reproduzível é a única maneira de tornar essa estrutura responsável sem fingir que é mais simples do que é.

A responsabilidade segue a cadeia de evidências

A alocação final deve seguir o controle prático sobre a evidência. A SITA controlava o ambiente do Sistema de Serviço ao Passageiro afetado e grande parte do registro de investigação. As companhias aéreas controlavam os relacionamentos com os clientes e muitas notificações aos passageiros. As alianças e os acordos interline explicavam por que alguns dados de viajantes frequentes podiam ser mantidos fora dos sistemas da própria companhia aérea do passageiro. Os reguladores forneciam as expectativas legais para notificação de violação, deveres do processador e responsabilidade.

Os passageiros tinham a menor visibilidade e tinham que confiar na precisão das transferências do fornecedor para a companhia aérea.

Essa alocação não significa que todas as companhias aéreas tiveram a mesma exposição ou que todos os passageiros afetados enfrentaram o mesmo risco. O registro mostra o oposto: algumas notificações envolviam dados restritos de fidelidade, enquanto a reportagem relacionada à Air India envolvia categorias mais amplas de dados de passageiros. A responsabilidade exige preservar essas diferenças em vez de forçar o evento a um único número.

A resposta de governança pública da SITA é uma parte significativa do registro de reparo, mas não fecha a lacuna de evidência pública por si só. A lição duradoura é que os fornecedores de aviação devem ser capazes de provar limites de inquilinos, retenção de dados, detecção de incidentes, notificação de companhias aéreas, evidências para reguladores e reparo em nível de conselho. As marcas de companhias aéreas podem pedir desculpas aos passageiros, mas não podem provar independentemente fatos que residem dentro dos logs de um fornecedor. É por isso que a SITA tornou os dados de passageiros aéreos um teste de responsabilidade do fornecedor.

A lição mais longa do incidente é sobre infraestrutura oculta. Os passageiros aéreos veem as companhias aéreas, não a teia completa de sistemas por trás do check-in, reconhecimento de fidelidade, troca de dados e processamento de passageiros. Uma violação torna essa teia visível sob pressão. A resposta responsável não é fingir que a teia é simples. É documentá-la, minimizar dados desnecessários, monitorá-la, governá-la e dar a cada passageiro afetado uma notificação que reflita o caminho real que seus dados percorreram.