Ciberseguretat per a vehicles autònoms
Com més es modernitzen i es tornen autònoms els sistemes de transport, més es poden piratejar. Els estàndards internacionals d'organitzacions com l'IEC poden proporcionar els requisits de ciberseguretat adequats.
Al gener, els sistemes de navegació marítima d'Itàlia que governen els vaixells al mar Mediterrani van ser manipulats. El pirata informàtic era un nen d'escola de 15-anys. Tot i que res més que la picardia adolescent sembla haver estat la motivació en aquesta ocasió, els experts en ciberseguretat estaven alerta. El cas posa de manifest la necessitat de les organitzacions de tot arreu de protegir els seus sistemes de transport a mesura que els vaixells, els trens i els automòbils es tornen cada cop més autònoms. Els vehicles autònoms (AV) representen una amenaça especialment alarmant, ja que el món ha estat testimoni d'un nombre creixent d'incidents amb camions i furgonetes utilitzats com a armes en atacs terroristes.
El repte dels vehicles connectats
L'any 2030, el 95% dels vehicles nous venuts a tot el món estaran connectats, mentre que el nombre en servei augmentarà de 192 milions el 2023 a 367 milions el 2027. L'any passat, els "incidents globals-massius" de pirates informàtics dirigits a vehicles i serveis connectats es van triplicar del 5% al 19%, segons un especialista en seguretat de dades.
No és només la digitalització de gairebé tots els aspectes del control i les comunicacions dels vehicles el que augmenta l'amenaça d'atacs cibernètics. És que la naturalesa interconnectada dels sistemes de transport autònoms crea una àmplia superfície d'atac per als delinqüents. Els vehicles-autònoms utilitzen serveis al núvol, GPS, sensors, càmeres i xarxes de comunicació per funcionar. Estan connectats a altres dispositius d'Internet de les coses (IoT), cosa que els fa vulnerables als ciberatacs i als pirates informàtics.
Mentre que la indústria de l'automòbil està lluitant amb el problema, els governs també estan preocupats. "Un gran atac ciber-terrorista dirigit als sistemes operatius de molts-vehicles de conducció autònoma simultàniament podria causar víctimes massives", va ser l'escenari catastròfic presentat pels parlamentaris britànics després de la seva pròpia investigació sobre els cotxes autònoms. Els diputats van concloure que els vehicles-autònoms representen riscos per a la ciberseguretat "a causa de les seves capacitats connectades més que no automatitzades".
La connectivitat IoT és l'enllaç feble
La indústria de l'automòbil ha estat conscient durant almenys una dècada de com un actor maliciós podria explotar de forma remota les vulnerabilitats, incloses les funcionalitats de l'IoT i els components que no són cibersegurs, per envair les dades dels usuaris i controlar les funcions bàsiques d'un vehicle, com ara frenar o accelerar. Segons aquest article d'una empresa de ciberseguretat, ara els objectius inclouen sistemes avançats d'assistència al conductor (ADAS), comunicacions de vehicle-a-tot (V2X) i actualitzacions per--per aire (OTA).
I ja està passant. Els pirates d'automoció en què els atacants van aconseguir controlar els vehicles de forma remota i van poder explotar les deficiències del sistema per "posar en perill la vida dels conductors, passatgers o vianants" van augmentar dràsticament el 2024 i van representar més del 35% de tots els casos d'atacs cibernètics d'automoció. "Els actors de les amenaces estan desplegant ara atacs a gran-escala, sofisticats i impulsats per IA-no només als vehicles, sinó també a la infraestructura de càrrega de vehicles elèctrics, aplicacions basades en API-i dispositius IoT de mobilitat intel·ligent", diuen els autors de l'informe. "Aquesta superfície d'atac en expansió requereix un enfocament transformador i pro-actiu de la ciberseguretat". Com que els atacs a vehicles autònoms es dirigeixen cada cop més als protocols V2X en comptes d'altres elements més simples dels vehicles, es considera crucial adoptar un enfocament de la ciberseguretat basat en estàndards-al llarg de tot el cicle de vida del producte.
Un futur de l'automoció segur
Diversos estàndards establerts proporcionen els blocs per crear confiança en la cadena de subministrament durant tot el cicle de vida del producte. La sèrie d'estàndards IEC 62443 defineix requisits i processos per implementar i mantenir sistemes de control i automatització industrial segurs electrònicament. Aquests estàndards estableixen les millors pràctiques de seguretat i proporcionen una manera d'avaluar el nivell de rendiment de la seguretat, inclòs en el transport. L'enfocament del repte de la ciberseguretat és holístic, que fa un pont entre les operacions i les TI, així com entre la seguretat dels processos i la ciberseguretat.
ISO/SAE 21434 és l'estàndard per a l'enginyeria de ciberseguretat d'automoció. Proporciona un marc complet per identificar, avaluar i mitigar els riscos de ciberseguretat a tota la cadena de subministrament. L'estàndard cobreix tot el cicle de vida d'un vehicle, des del concepte fins a la clausura. A més, ISO/SAE 21434 compleix el Reglament 155 de les Nacions Unides (R155), que garanteix que els sistemes de gestió de la seguretat cibernètica (CSMS) adoptin un enfocament sistemàtic de la gestió del risc.
El compliment d'aquests estàndards s'ha convertit en obligatori per als fabricants i els seus proveïdors, per la qual cosa és crucial que totes les parts implicades tinguin mesures de ciberseguretat sòlides. Tot i que el R155 només és obligatori a la UE, Japó i Corea, la majoria de fabricants d'automòbils utilitzen els seus requisits com a millor pràctica a tot el món.
El programa de ciberseguretat industrial de l'IECEE, l'IEC System of Conformity Assessment Schemes for Electrotechnical Equipment and Components, prova i certifica la ciberseguretat en el sector de l'automatització industrial. L'IECEE inclou un programa que proporciona certificació d'estàndards de la sèrie IEC 62443.
Ciberresiliència marítima
Els atacs cibernètics a empreses navilieres s'han convertit en un lloc-comú. Enmig del reconeixement creixent del risc, pocs dins del sector creuen que els esforços per combatre les amenaces són suficients.
Els sistemes marítims, com els sistemes de control ferroviari, sovint estan obsolets i estan mal protegits. Els vaixells són cada cop més dirigits a través dels seus sistemes GPS, cosa que pot afectar la navegació. Els seus sistemes d'identificació automàtica (AIS) també poden ser piratejats i fins i tot falsificats. L'AIS és un sistema de seguretat essencial que utilitza senyals de ràdio, ajudant els vehicles marítims a identificar-se i fer-se un seguiment entre ells, evitant així les col·lisions. Per molt que sigui essencial, pot esdevenir una baula feble per als ciberatacs.
"Un vaixell és com una fàbrica flotant", descriu un proveïdor d'informació marítima. "Hi ha molts sistemes que parlen entre ells i no estan protegits. Normalment no hi ha xifratge ni autenticació. És fàcil piratejar sistemes individuals. És com piratejar un Tesla, excepte que és molt més gran".
L'IEC ha publicat estàndards internacionals que especifiquen mesures de ciberseguretat per als vaixells. Un dels seus comitès tècnics, l'IEC TC 80, ha assumit el paper de desenvolupar estàndards internacionals per al Sistema Mundial de Socors i Seguretat Marítima (GMDSS), un conjunt de procediments de seguretat i protocols de comunicació acordats internacionalment que s'utilitzen per augmentar la seguretat i facilitar el rescat de vaixells en perill. L'IEC TC 80 emet l'IEC 63154, que especifica els requisits dels estàndards per proporcionar un nivell bàsic de protecció contra els incidents cibernètics (és a dir, intents maliciosos, que en realitat o potencialment tenen conseqüències adverses per als equips, les seves xarxes o la informació que processen, emmagatzemen o transmeten).
Els pirates informàtics i els ciberdelinqüents són cada cop més sofisticats i utilitzen les noves tecnologies digitals per accedir a les dades i prendre el control dels sistemes de transport. Però les eines, com els estàndards internacionals, estan allà per protegir les indústries del transport mentre inverteixen per modernitzar-se. Seguint els passos descrits a les normes, es poden evitar molts dels riscos.