La ciberseguridad en la aviación civil ya no es un tema exclusivo de tecnología, hoy es un componente esencial de la seguridad operacional y la continuidad de las organizaciones del sector.
En México, la Agencia Federal de Aviación Civil (AFAC) estableció mediante la Circular Obligatoria CO SA 17.18/24, los requisitos mínimos de ciberseguridad que deben cumplir las entidades reguladas para prevenir actos de interferencia ilícita realizados a través de medios cibernéticos, informáticos o tecnológicos.
Comprender el alcance de la Circular, los roles involucrados y la forma en que se evalúa el cumplimiento es fundamental para prepararse adecuadamente y evitar interpretaciones incorrectas de la regulación.
En este blog analizamos los principales aspectos que deben considerar las organizaciones del sector aeronáutico: a quién aplica, qué exige, cómo se distribuyen las responsabilidades y qué sucede cuando se identifican brechas.
¿Por qué existe esta regulación?
La operación aeronáutica depende de sistemas, redes, dispositivos, aplicaciones, proveedores e intercambios de información. Esa interdependencia permite operar con mayor eficiencia, pero también amplía la superficie de exposición a accesos no autorizados, malware, vulnerabilidades, errores de configuración, abuso de privilegios o interrupciones de los servicios críticos.
La CO SA 17.18/24 incorpora estos riesgos al ámbito de la ciberseguridad en la aviación civil. Su objetivo no es regular la tecnología por sí misma, sino reducir la posibilidad de que un ataque cibernético, informático o tecnológico se convierta en un acto de interferencia ilícita o afecte procesos relevantes para la operación aeronáutica.
Esta regulación introduce un principio clave: no basta con implementar controles de seguridad, es necesario demostrar su cumplimiento mediante evidencia objetiva, vigente y verificable.
En la práctica, esto implica que las organizaciones deben poder sustentar cómo protegen sus sistemas, cómo gestionan sus riesgos y cómo aseguran la efectividad de sus controles frente a los requisitos establecidos por la autoridad.
La Circular vincula la ciberseguridad con la seguridad de la aviación civil. Por eso el cumplimiento requiere controles técnicos, procesos documentados, responsables definidos y evidencia verificable.
¿A quién aplica la Circular CO SA 17.18/24?
La aplicabilidad no se limita únicamente a aerolíneas y aeropuertos. El alcance comprende a varios participantes del ecosistema aeronáutico y también puede alcanzar a terceros cuya información, tecnología o servicios tengan impacto potencial en la seguridad de la aviación civil.
- Personas concesionarias, asignatarias y permisionarias del transporte aéreo.
- Personas concesionarias, asignatarias, permisionarias y operadoras de aeródromos civiles.
- Prestadores de servicios aeroportuarios, complementarios y comerciales.
- Personas físicas o morales que intercambien información remota, tecnológica o informática que pudiera afectar la seguridad de la aviación civil en México.
Para determinar el alcance, la organización debe analizar sus títulos, permisos y servicios, pero también la manera en que participa en procesos críticos, administra activos tecnológicos o intercambia información con otros actores del sector. El alcance de esta regulación para un proveedor no depende de su tamaño, sino de su función y del impacto potencial de sus servicios en el ecosistema.
¿Qué exige en términos generales?
La Circular establece un conjunto de controles que cubren activos, accesos, vulnerabilidades, configuraciones, comunicaciones, protección contra código malicioso, redes inalámbricas, capacidades del personal y pruebas técnicas. Aunque varios requisitos se relacionan directamente con controles tecnológicos, su cumplimiento también depende de un adecuado diseño de políticas, procedimientos, asignación de responsabilidades, gestión de riesgos y mecanismos de seguimiento.
En términos prácticos, la organización debe demostrar que conoce sus activos, controla quién puede acceder a ellos, reduce y gestiona vulnerabilidades, mantiene configuraciones seguras, protege los canales y verifica periódicamente la efectividad de sus controles.
Inventarios de software y dispositivos
Identificar el software autorizado y no autorizado, conservar inventarios de hardware y relacionar los activos con su uso, criticidad, soporte y responsables.
Vulnerabilidades y parches
Contar con procesos y herramientas para identificar, priorizar y atender vulnerabilidades, incluyendo el seguimiento de actualizaciones y parches.
Accesos, cuentas y privilegios
Administrar el ciclo de vida de las cuentas, proteger credenciales y controlar de forma especial los privilegios administrativos.
Configuraciones seguras
Definir y mantener configuraciones de seguridad en equipos, servidores, aplicaciones y dispositivos, con mecanismos que permitan comprobar su aplicación.
Correo, navegación, malware y redes inalámbricas
Aplicar medidas de protección para canales expuestos y de uso cotidiano, y controlar el acceso y segmentación de redes inalámbricas.
Concientización y entrenamiento
Mantener un programa con contenidos definidos, evidencia de ejecución y análisis de las brechas de habilidades del personal.
Pruebas técnicas y evaluación periódica
Realizar pruebas de penetración o ejercicios de red teaming según corresponda, conservar sus resultados y documentar el seguimiento del cumplimiento.
Tres roles distintos: AFAC, entidad regulada y Unidad Verificadora
Una de las confusiones más frecuentes es asumir que todos los participantes tienen la misma responsabilidad. El proceso funciona precisamente porque los roles están separados.
La AFAC
La AFAC es la autoridad. Convoca a las entidades reguladas conforme a su plan de trabajo, mantiene canales de comunicación, puede participar de manera aleatoria en verificaciones remotas o in situ, analiza la información que recibe, reconoce los resultados emitidos conforme al programa y mantiene el registro correspondiente. También conserva sus facultades de vigilancia y de determinación de las medidas administrativas aplicables.
La entidad regulada
La entidad regulada implementa los requisitos, conserva la evidencia y facilita la ejecución de la verificación. Debe nombrar a una persona responsable de coordinar la auditoría, proporcionar documentación, accesos y entrevistas, declarar incidentes o tentativas relevantes, permitir la ejecución de las pruebas técnicas y atender los incumplimientos mediante planes de remediación que contemplen medidas correctivas y preventivas.
La Unidad Verificadora
La Unidad Verificadora realiza una evaluación objetiva e independiente. Revisa documentos, entrevista a responsables, analiza evidencia, ejecuta procedimientos técnicos e inspecciones cuando aplican, determina hallazgos e incumplimientos y genera los informes de resultados, integra el expediente y remite la documentación correspondiente a la autoridad..
CYNTHUS es Unidad Verificadora autorizada por la AFAC tras un proceso de evaluación técnica y de competencia que acredita su capacidad para realizar este tipo de revisiones en el sector aeronáutico. Este reconocimiento permite a CYNTHUS participar en el proceso de verificación bajo un marco de independencia, imparcialidad y rigor técnico, emitiendo resultados conforme a los criterios establecidos por la autoridad.
El cumplimiento debe poder acreditarse
Cumplir no significa únicamente contar con políticas, herramientas o procedimientos. La entidad regulada debe poder acreditar que los controles aplicables están implementados, se mantienen vigentes y operan en la práctica.
Durante la verificación se analiza la correspondencia entre lo establecido por la organización, la evidencia disponible y la forma en que los controles funcionan en su operación. Cuando esa evidencia no es suficiente o no refleja la situación actual, pueden identificarse brechas que deben quedar documentadas en el informe de resultados.
Por ello, mantener información actualizada y trazable forma parte del cumplimiento.
¿Cómo funciona una verificación?
De manera general, la verificación comienza una vez que se ha formalizado un contrato entre la entidad regulada y la Unidad Verificadora, el cual debe ser reportado a la AFAC por esta última. Posteriormente, se revisa el cumplimiento de los requisitos aplicables mediante evidencia documental, entrevistas y, cuando corresponde, evaluaciones técnicas o en sitio.
Al concluir, se comunican los hallazgos, se documentan los resultados y se emite la información correspondiente al cierre de la verificación.
Las actividades específicas se determinan de acuerdo con las características, la operación y la complejidad de cada organización.
¿Qué evaluaciones y tiempos deben considerarse?
El cumplimiento de la Circular CO SA 17.18/24 requiere una atención continua. Las entidades reguladas deben considerar, entre otras obligaciones, dos evaluaciones periódicas:
- Verificación del cumplimiento regulatorio: debe realizarse una vez al año para evaluar y acreditar el cumplimiento de los requisitos aplicables.
- Pruebas de penetración o ejercicios de red teaming: deben realizarse semestralmente, es decir, dos veces al año, para evaluar la efectividad de las medidas de seguridad e identificar posibles vulnerabilidades en la infraestructura informática.
Además, las entidades reguladas deben presentar a la AFAC un informe semestral sobre las medidas implementadas, que incluya el reporte de la prueba de penetración o del ejercicio de red teaming realizado por una Unidad Verificadora autorizada.
Estas periodicidades no deben confundirse con la duración de cada evaluación. El tiempo requerido para realizarla dependerá del alcance, la complejidad de la operación, la infraestructura involucrada, el número de ubicaciones y la disponibilidad de la información.
Por ello, es importante planear estas actividades con anticipación y mantener actualizadas las evidencias de cumplimiento.
¿Qué ocurre cuando se identifican hallazgos?
Cuando se detectan brechas, estas se documentan y se comunican a la entidad regulada para su análisis y atención. La entidad regulada es responsable de desarrollar un plan de trabajo para la atención de incumplimientos, implementar las acciones de remediación correspondientes y presentar la evidencia que permita acreditar su atención.
La Unidad Verificadora evalúa y documenta los resultados. La AFAC conserva sus facultades de supervisión y determina las medidas administrativas que correspondan conforme al marco aplicable, de acuerdo con el tipo de incumplimiento.
Por ello, un hallazgo no debe interpretarse automáticamente como la pérdida de un permiso, autorización o certificación; esa determinación no corresponde a la Unidad Verificadora.
CYNTHUS, Unidad Verificadora autorizada por la AFAC
La credibilidad de una verificación depende de la competencia técnica, la independencia y la imparcialidad de quien la realiza.
CYNTHUS fue autorizada por la AFAC, después del proceso de evaluación correspondiente, para desempeñarse como Unidad Verificadora de la Circular CO SA 17.18/24.
Desde esta función, CYNTHUS realiza la evaluación independiente del cumplimiento y emite los resultados correspondientes, manteniendo la separación entre las responsabilidades de la organización regulada, la Unidad Verificadora y la autoridad.
Si su organización necesita conocer el alcance del proceso, la información inicial requerida o los pasos para comenzar una verificación, nuestros especialistas pueden orientarle.
¿Necesita apoyo para interpretar la Circular o iniciar una verificación
La aplicación de los requisitos de ciberseguridad puede variar según la operación, el tipo de autorización y la complejidad de cada organización. Si su organización está evaluando su alcance o requiere comprender cómo se desarrolla el proceso de verificación, nuestro equipo puede orientarle en los siguientes pasos y resolver dudas iniciales. Hablar con un especialista.
