Aeroportos: infraestrutura para operar em modo degradado

Infraestrutura de TI · 4 min

Setor de atividade: Aviação

Quando a plataforma de check-in partilhada falha, o terminal depende do que foi preparado antes. Veja como mapear dependências, dimensionar capacidade local e ensaiar a transição.

Aeroportos: infraestrutura para operar em modo degradado

TL;DR

Muitos aeroportos utilizam plataformas partilhadas de processamento de passageiros, criando dependências de fornecedores tecnológicos.
O incidente de setembro de 2025 na plataforma MUSE da Collins Aerospace provocou perturbações no check-in, atrasos e cancelamentos em vários aeroportos europeus.
O modo degradado exige procedimentos definidos, identificação de dependências e alternativas operacionais previamente validadas.
A capacidade local de reserva deve ser proporcional ao risco e depender de sistemas, dados, acessos e recursos efetivamente disponíveis.
Ensaios conjuntos entre aeroportos, companhias aéreas, prestadores de assistência em escala e fornecedores ajudam a validar os planos de contingência.

Um incidente num fornecedor parou o check-in em vários aeroportos

Na aviação, muitos aeroportos processam passageiros em plataformas de uso comum. O mesmo balcão, quiosque ou porta de embarque pode servir várias companhias aéreas através de software fornecido por terceiros. Na noite de 19 de setembro de 2025, um ataque de ransomware que afetou a plataforma MUSE, da Collins Aerospace, perturbou operações de check-in eletrónico, processamento de bagagem e embarque em aeroportos como Heathrow, Bruxelas e Berlim. As equipas recorreram a procedimentos manuais, enquanto passageiros enfrentavam filas, atrasos e cancelamentos. O incidente afetou sistemas de processamento de passageiros, sem indicação de comprometimento dos sistemas de controlo de tráfego aéreo. Para quem gere TI num aeroporto, numa empresa de assistência em escala ou numa companhia aérea, a pergunta central é esta: que capacidade operacional pode ser mantida quando uma plataforma partilhada deixa de estar disponível?

A dependência concentra-se numa camada invisível ao passageiro

O modelo de uso comum tem vantagens claras: reduz a duplicação de equipamentos, permite partilhar balcões entre companhias e simplifica a gestão do terminal. Em contrapartida, concentra numa plataforma partilhada funções que, de outro modo, poderiam depender de sistemas distintos. Quando essa plataforma falha, o impacto pode atingir simultaneamente vários operadores, postos de trabalho, impressoras de cartões de embarque e equipamentos associados ao processamento de passageiros. Importa distinguir o âmbito do incidente: a indisponibilidade de uma plataforma de check-in não significa necessariamente que os sistemas de segurança aeroportuária ou de controlo de tráfego aéreo estejam afetados. Ainda assim, a interrupção de uma função administrativa essencial pode provocar filas, atrasos e cancelamentos. É um exemplo do risco discutido no artigo sobre resiliência em SaaS e dependências de fornecedores.

O modo degradado tem de ser desenhado, não improvisado

Operar em modo degradado significa manter determinadas atividades com capacidade reduzida, através de procedimentos previamente definidos e validados. Do ponto de vista da infraestrutura, é necessário identificar os componentes que continuam disponíveis quando a plataforma central falha e as dependências que podem impedir a utilização de soluções alternativas. Que sistemas podem funcionar de forma autónoma? Que dados e autorizações continuam acessíveis? Que procedimentos manuais são permitidos e como se articulam com as companhias aéreas? Um inventário que registe as dependências entre aplicações, rede e equipamentos ajuda a responder a estas perguntas antes do incidente. A segmentação de rede pode contribuir para limitar a propagação de determinados incidentes de segurança, mas não substitui a existência de alternativas operacionais. A continuidade depende também da disponibilidade dos sistemas, dos dados, dos acessos e dos procedimentos necessários à prestação do serviço.

A capacidade local deve ser proporcional ao risco

A capacidade a manter localmente deve ser avaliada caso a caso. Em determinados terminais, pode fazer sentido reservar postos de trabalho, conectividade independente e equipamentos preparados para procedimentos alternativos, desde que sejam compatíveis com os sistemas e processos das companhias aéreas. Noutros, a solução poderá passar por mecanismos de contingência acordados com os operadores, incluindo procedimentos manuais ou aplicações alternativas. A escolha entre infraestrutura local e no edge ou em serviços remotos, depende da criticidade das funções, da conectividade, dos requisitos de segurança e da capacidade de integração. É igualmente importante garantir que os recursos de reserva recebem atualizações, são monitorizados e dispõem dos dados e mecanismos de autenticação necessários. Uma infraestrutura de contingência que não tenha sido testada pode revelar-se inutilizável precisamente quando é necessária.

Ensaios conjuntos revelam o que os planos escondem

Um plano de contingência só demonstra a sua eficácia quando é testado com as entidades responsáveis pela sua execução. Os exercícios periódicos devem simular a indisponibilidade de plataformas partilhadas e envolver, conforme as funções afetadas, o operador aeroportuário, as companhias aéreas, os prestadores de assistência em escala e os fornecedores tecnológicos. Permitem avaliar o tempo necessário para ativar procedimentos alternativos, identificar equipamentos ou acessos em falta e verificar se a informação chega às equipas certas. Os resultados devem alimentar runbooks com passos claros e responsáveis identificados, bem como a revisão dos acordos contratuais e dos mecanismos de comunicação. No enquadramento regulamentar, a Diretiva NIS2 e os requisitos europeus de segurança da informação para a aviação, conhecidos como Part-IS, podem ser relevantes, consoante a entidade, as atividades desenvolvidas e o regime aplicável. A identificação das obrigações concretas deve ser feita caso a caso.

A resiliência depende de decisões tomadas antes da falha

As plataformas partilhadas continuarão a oferecer vantagens operacionais em aeroportos utilizados por várias companhias aéreas. No entanto, a eficiência da centralização deve ser acompanhada por uma avaliação das dependências e das consequências da indisponibilidade dos serviços. A questão não é garantir que todas as operações continuam normalmente perante qualquer falha, mas determinar antecipadamente quais podem ser mantidas, durante quanto tempo, com que capacidade e através de que procedimentos. A resposta depende da dimensão do terminal, dos sistemas utilizados, dos acordos entre aeroportos, companhias e prestadores de assistência em escala e das responsabilidades de cada entidade. Mapear dependências, preparar alternativas proporcionais ao risco e ensaiar a transição com as partes envolvidas pode reduzir o impacto operacional e melhorar a capacidade de resposta.