Risikomanagement in der Luftfahrt und Cybersicherheit

Ich war fast mein gesamtes Erwachsenenleben lang ein IT- und Sicherheitsexperte. Ich begann meine Karriere als Netzwerkingenieur und entwickelte mich ziemlich schnell zum Sicherheitsingenieur. Zuerst habe ich eine Firewall-Zertifizierung hinzugefügt, dann habe ich die Erkennung und Verhinderung von Eindringlingen hinzugefügt. Die Sicherheitsbereiche wuchsen weiter; Hinzu kommen forensische Untersuchungen, eDiscovery, Projektberatung und vieles mehr. Bei der Projektberatung haben wir uns darauf konzentriert, sicherzustellen, dass das Risikoniveau eines Projekts innerhalb eines für die Organisation akzeptablen Niveaus liegt. In meinen letzten drei Rollen war ich an der Spitze der Cybersicherheitsorganisation; aber ich habe wanSolange ich mich erinnern kann, war ich Pilot.

Im Jahr 2018 wurde ich zertifizierter Pilot und im Jahr 2019 Fortgeschrittenen- und Instrumenten-Grundschullehrer. Ich habe kürzlich eine formelle Grundschulklasse für etwa 15 Schüler mit unterschiedlichen Fähigkeiten, unterschiedlichem Alter und unterschiedlichen Zielen für ihre Pilotenkarriere abgeschlossen.

Einer meiner jüngsten Schüler ist ungefähr so ​​alt wie ich und hat sein ganzes Leben lang davon geträumt, zu fliegen, und zwar einfach wanEs geht darum, es zum Spaß zu tun, während ein anderer 16-jähriger Student den Wunsch hat, für die Fluggesellschaft zu fliegen, und ein weiterer junger Student den Wunsch hegt, Pilot bei der United States Air Force zu werden.

Obwohl es für jeden dieser Lernenden unterschiedliche Antriebsfaktoren und Investitionshöhen gibt, gibt es einige wichtige Grundlagen des Berufs, die er verstehen und annehmen muss.

Während ich diesen Artikel schreibe, schaue ich auf mein Bücherregal voller Flugschulungsmaterialien, Technik- und Sicherheitsbüchern. Wenn Sie sich die Federal Aviation Regulations (FAR) und das Airmen Information Manual (AIM) ansehen, werden Sie feststellen, dass sie 540 Seiten der Regeln und Vorschriften enthalten, die in Titel 14 Code of Federal Regulations enthalten sind, der Piloten, Flugzeuge, das Fliegen und verwandte Gegenstände regelt. Die Version des Buches, die mir vorliegt, wurde für Piloten geschrieben und enthält daher keine der unzähligen Regeln und Vorschriften, die die gesamte Luftfahrtindustrie regeln.

„Die Luftfahrt an sich ist nicht grundsätzlich gefährlich. Aber in noch größerem Maße als das Meer ist es furchtbar unversöhnlich gegenüber jeglicher Nachlässigkeit, Unfähigkeit oder Vernachlässigung.“ — Captain AG Lamplugh, British Aviation Insurance Group, London. 1930er Jahre

Wenn ich an meinen ersten Tag als Lehrer an der Flugschule zurückdenke, in dem es um die Geschichte des Fliegens und der Federal Aviation Administration (FAA) sowie um die Geschichte des Fliegens im Allgemeinen seit 117 Jahren ging, stellte ich fest, dass es keine dieser Vorschriften oder Regeln gab. Im Laufe der Zeit, mit dem Wachstum der Luftfahrtindustrie und dem Verlust von Menschenleben von Piloten, Passagieren und Zivilisten, wurden diese Gesetze, leider geschrieben in Blut, geschaffen, um weitere Verluste zu verhindern.

Und wenn ich an alle aktuellen Sicherheitsvorschriften und -anforderungen in der Cyberwelt denke, wie HIPAA, SOX oder in jüngerer Zeit an den Datenschutz mit DSGVO, CCPA und anderen Datenschutzbestimmungen, sind auch diese im Leben geschrieben. Während diese Gesetze möglicherweise nicht geschrieben wurden, weil jemand sein Leben verlor, haben einige ihren Lebensunterhalt, ihre Identität oder ihre Ersparnisse verloren.

Die meisten Vorschriften in den FARs sind verbindlich. Dies ist, was Sie tun müssen. Es gibt einige strenge Regeln und Richtlinien in der Cybersicherheit, die befolgt werden müssen. Die meisten anderen Bereiche sind suggestiver und offener für InterpWiederholungen wie die Fragen „Sollte ich?“ oder „Was kann ich tun, um die Wahrscheinlichkeit zu verringern, dass so etwas passiert?“.

Hier kommen Risikomanagement und Diskretion ins Spiel. Fliegen ist eine äußerst lohnende Aktivität und es werden Maßnahmen ergriffen, um das Risiko zu reduzieren. Beim Unterrichten verfolge ich gerne den Ansatz, die Schüler dazu zu bringen, darüber nachzudenken, welche Risikomanagementtechniken sie anwenden würden, um ein positives Ergebnis zu gewährleistentcoMir sollte etwas nicht wie geplant verlaufen. Das Gleiche gilt auch im Cyber-Bereich: Welche Schritte werden Sie unternehmen, um den Erfolg Ihres Unternehmens sicherzustellen?tcoWie Sie mit den Risiken eines Projekts umgehen und die Wahrscheinlichkeit verringern, dass etwas schiefgeht, und wie Sie mit diesen Risiken umgehen, wenn es trotzdem schief geht, damit Sie die Auswirkungen des Fehlers minimieren können. (Risikomanagement und Reaktion auf Vorfälle).

Ich beabsichtige, eine kurze Artikelserie zu veröffentlichen, in der Aviation Risk Management und Cyber ​​Security Risk Management verglichen und gegenübergestellt werden. Ich würde gerne mit anderen Cyber-Sicherheitsexperten zusammenarbeiten, die ebenfalls Piloten sind, um die Gemeinsamkeiten und Unterschiede in zukünftigen Artikeln zu untersuchen. Im nächsten Artikel werde ich auf Checklisten eingehen, was sie sind und was nicht und wie man sie in einem risikobasierten Ansatz verwendet. Als nächstes werde ich mich auf die Unterschiede in der Ausbildung und Mentalität zwischen Aviation und Cyber ​​konzentrieren. Anschließend erläutere ich, wie Sie das Verfahren erläutern, wie Sie den Umgang mit Fehlern wie etwa einem Motorausfall üben und wie Sie Ihre Cybersicherheitsprozesse und -verfahren wie Backups, Patches, Reaktion auf Vorfälle usw. regelmäßig testen sollten.

Über den Autor

Edward Frye

Edward ist der Chief Information Security Office bei Aryaka Networks, ein führender Anbieter von Informationssicherheit mit über 20 Jahren Erfahrung in der Entwicklung funktionsübergreifender, praktischer Sicherheitsansätze, die zur Unternehmenskultur und den Geschäftszielen passen, und verantwortlich für die unternehmensweite Führung von Aryaka's Cybersicherheits-, Datenschutz-, Governance-, Risiko- und Compliance-Programme und arbeitet mit Branchenführern zusammen, um Best Practices zur Informationssicherheit auszutauschen. Zu seinen früheren Führungspositionen im Bereich CyberSecurity zählen Elementum, BlueJeans, Kaiser Permanente, Valley Oak Systems, Ellie Mae und PaymentOne. Edward ist zertifizierter Berufspilot und Bodenlehrer.