Uitdagingen voor automotive cyberbeveiliging op middellange termijn

De opkomst van elektrische voertuigen heeft een monumentale verschuiving in de autowereld teweeggebracht. Auto's zijn niet langer slechts eenvoudige machines van weleer, maar lijken nu op complexe computersystemen op wielen, die steeds dichter bij hoog-autonome, robotachtige entiteiten komen. Dit artikel duikt in de complexe wereld van moderne voertuigen en onderzoekt hun geavanceerde sensoren, enorme rekenkracht en talloze regels code die hun connectiviteit en onafhankelijkheid ondersteunen.

Met deze vooruitgang komt de dringende behoefte aan betrouwbare, versterkte systemen om zich te verdedigen tegen functionele veiligheidsrisico's en cyberaanvallen.

Naarmate we 2023 en verder ingaan, maken de grote autofabrikanten zich grote zorgen over de noodzaak om overwegingen van cyberbeveiliging in elk aspect van hun operaties te verweven, van voertuigontwerpen en oplaadstations tot transportinfrastructuur en toeleveringsketens. Deze strategie is essentieel om te overleven in onze steeds meer gedigitaliseerde wereld.

Dankzij doorbraken in de informatietechnologie is het landschap van de automobielindustrie getransformeerd. Voertuigen beschikken nu over naadloze verbindingen met fabrikanten, eigenaren en bestuurders, een prestatie mogelijk gemaakt door de combinatie van informatietechnologie en innovatieve, samenwerkende en veelzijdige slimme voertuigen. Voorbeelden zijn noodoproepen bij ongevallen of het lokaliseren van voertuigen via GPS. Echter, met de toename van connectiviteit neemt ook de kwetsbaarheid voor cyberaanvallen toe.

In een wereld waar prototypes van bestuurdersassistentievoertuigen zich snel ontwikkelen, hebben sommige al hun debuut gemaakt op de Europese en Japanse markten. Grote spelers in de industrie zoals Tesla en Google investeren middelen in dit opkomende veld en begrijpen volledig het belang van cyberbeveiliging. Ze erkennen dat de aantrekkelijke vooruitzichten die geavanceerde technologie biedt ook gevaren met zich meebrengen, zoals gerichte cyberaanvallen. Het aanpakken van cyberbeveiligingsrisico's binnen het domein van intelligente voertuigen is daarom van het grootste belang.

Zwakke punten van een geautomatiseerd voertuig

Cybercriminelen in de auto proberen de elektronische systemen van het voertuig te beïnvloeden om de controle over het voertuig over te nemen, wat de veiligheid van de inzittenden kan aantasten of, erger nog, ongelukken kan veroorzaken die andere voertuigen op de weg of de transportinfrastructuur zelf kunnen aantasten in het geval van een botsing. Er zijn gevallen bekend van cyberaanvallen op slimme voertuigen van bekende fabrikanten.

Zonder iets aan de inhoud te veranderen: Cyberaanvallen op de telematica-eenheid en de centrale gatewaymodule zijn het meest voorkomend. De aanvalsmethode is fysieke toegang via verschillende interfaces van het voertuig met de buitenwereld; boorddiagnosesystemen, USB-geheugen of het mobiele netwerk, die toegang tot het gehele voertuignetwerk kunnen bieden en functies kunnen manipuleren die zo kritisch zijn als sturen of remmen.

In dit opzicht werken fabrikanten hard aan robuuste en betrouwbare cybersecuritysystemen. In 2023 raden cybersecurityspecialisten het gebruik van de standaard „Road Vehicles Cybersecurity Engineering” (ISO/SAE CD 21434) aan, gebaseerd op de bekende SAE J3061 „Cybersecurity Guidebook for CyberPhysical Vehicle Systems”-standaard die probeert het risico van mogelijke cyberaanvallen op voertuigen te minimaliseren.

Redenen om een cyberaanval uit te voeren op een intelligent voertuig

De cyberaanval op een rijdend voertuig op een drukke snelweg om een ongeluk te veroorzaken is een voorbeeld van cyberterrorisme. Het wagenpark en de transportsector worden beschouwd als een doelwit van terrorisme omdat een aanval op deze sector een groot aantal gebruikers negatief zal beïnvloeden. Een andere reden om cyberaanvallen uit te voeren op voertuigen is om geld af te persen van bestuurders onder de dreiging van voertuigdiefstal die de verkoop van onderdelen op de zwarte markt bevordert, of erger nog, om toegang te krijgen tot real-time gegevens over een voertuig zoals de locatie, navigatie, informatie over de omgeving en zelfs informatie over de bestuurder en passagiers voor ontvoering of moord, voor het geval het losgeld niet wordt voldaan.

Gegevensbeschermings- en privacywetten spelen een essentiële rol in de bescherming van voertuigbezitters, aangezien voertuiverkoopinstellingen op het moment van verkoop een grote hoeveelheid persoonlijke gegevens, inclusief creditcardinformatie, van de persoon die het voertuig koopt, kunnen verwerken.

Het spreekt voor zich dat als consumentengegevens worden blootgesteld en in handen vallen van cybercriminelen, dit ernstige schade kan veroorzaken, hetzij door de gegevens te verkopen, het plegen van andere soorten fysieke criminele daden, of het uitvoeren van ransomware op een van de voertuigfunctionaliteiten die het gebruik ervan verhinderen totdat een losgeld wordt betaald voor het herstel van de functionaliteit.

Uitdagingen van cyberbeveiliging in de auto-industrie

Cybersecurity stelt voor dat verschillende schakels in de automotive businessketen als leverancier: fabrikanten, leveranciers, dealers, aftersales werkplaatsen, fabrikanten en beheerders van laadpunten, eigenaren van transportinfrastructuren, vervoerders en chauffeurs, onder anderen, deelnemen aan een plan dat voldoet aan de eisen van cybersecurity.

De Europeanen zijn de grootste referentie als het gaat om wetsvoorstellen, implementatie van wetten en implementatie van regelgeving op het gebied van cyberbeveiliging. Hun ervaringen zijn verplichte referenties en daaruit volgt een reeks aanbevelingen in de vorm van goede praktijken voor de cyberbeveiliging van slimme voertuigen. Deze gaan over de holistische bescherming van alle betrokken systemen, inclusief het post-verkoop proces van het voertuig. In algemene termen worden de cyberbeveiligingsuitdagingen genoemd om het wagenpark in 2023 te beschermen:

• Definitie van een risicogebaseerde methodologie om de belangrijkste voertuigrisico's te identificeren en te prioriteren.
• Privacy en veiligheid garanderen op basis van het ontwerp van verbonden en geautomatiseerde voertuigen.
• Fabrikanten zijn verantwoordelijk voor het installeren van updates op autonome voertuigen om kwetsbaarheden te verminderen voordat de voertuigen worden verkocht.
• Aftersales-werkplaatsen zijn belast met het aanbieden van een cyberbeveiligingsdienst voor voertuigen zodra ze zijn verkocht, om beveiligingsproblemen aan te pakken wanneer ze zich voordoen, software-updates kunnen uitvoeren die kwetsbaarheden oplossen in het geval van cyberaanvallen mechanismen hebben waarmee toepassingen kunnen worden geherconfigureerd en uitgeschakeld om ervoor te zorgen dat voertuigfuncties actief blijven en geen risico vormen voor de inzittenden van het voertuig en het milieu.

Dit alles vereist een specialisatie in cyberbeveiliging in de auto-industrie, die net als andere industrieën te kampen heeft met een gebrek aan gekwalificeerde cyberbeveiligingsengineers. Om aan deze behoefte te voldoen, is het essentieel dat bedrijven hun inspanningen richten op het versterken van cyberbeveiligingsprocessen die uitsluitend bestemd zijn voor het autopark.

Burgers informeren over de cyberbeveiliging van hun slimme voertuigen

Beveiligingsprofessionals denken dat ondanks permanente educatieprogramma's, de meerderheid van de mensen nog steeds moet begrijpen hoe cruciaal het is om op de hoogte te zijn van de cyberbeveiligingsstatus van hun auto. Naarmate de tijd verstrijkt, zullen steeds meer mensen aandacht gaan besteden aan de cyberbeveiliging van hun auto en de risico's herkennen van een verouderd cyberbeveiligingssysteem.

Voertuigfabrikanten in de Verenigde Staten voeren sinds 2019 een belangrijke campagne over het belang van het onderhouden van cyberbeveiligingssystemen, gedreven door een reeks overheidsvoorschriften die zijn geïmplementeerd om burgers te beschermen op basis van het volgende:

• : Zowel de toegangspunten tot elektronische systemen van elk voertuig dat in de Verenigde Staten te koop wordt aangeboden, zouden moeten worden uitgerust om bescherming te bieden tegen cyberaanvallen, met inbegrip van isolatiemaatregelen om kritieke softwaresystemen te scheiden van niet-kritieke systemen en de noodzaak om het te evalueren op kwetsbaarheden op het gebied van cyberbeveiliging, met inbegrip van de toepassing van penetratietests.
• Beveiliging van verzamelde informatie: Gegevens die door de elektronische systemen van het voertuig worden verzameld, moeten worden beveiligd om ongeautoriseerde toegang te voorkomen. Daarentegen worden de gegevens in het voertuig opgeslagen terwijl ze van de auto naar een andere locatie worden overgedragen en bij elke opslag of gebruik van de gegevens buiten het voertuig. Dit geldt vooral voor bedrijven die voertuigen verhuren.
• Detectie, Rapportage en Respons op Cyberaanvallen: Elk voertuig dat voor verkoop in de Verenigde Staten wordt geproduceerd en toegangspunten heeft, moet zijn uitgerust met mogelijkheden om onmiddellijk te detecteren, rapporteren en te reageren op elke poging om de rij- en controlegegevens van het voertuig af te luisteren. Als het voor verhuur is, moet u een nog strikter plan presenteren om uw cyberbeveiligingssysteem bij te werken.
• Cybersecurity-paneel: Alle voertuigen moeten een cybersecurity-paneel hebben dat informeert wie het bestuurt via een standaardgrafiek en het niveau van bescherming en privacy op een begrijpelijke manier weergeeft.

De hierboven genoemde initiatieven worden door andere landen overwogen. De cyberbeveiligingsspecialisten bevelen aan dat een orgaan cyberbeveiliging voor de automobielsector coördineert dat transportautoriteiten helpt bij het identificeren, detecteren, beschermen, reageren op en herstellen van cyberdreigingen en cyberaanvallen.

Conclusie

Praten over cyberbeveiliging in de autosector houdt in dat de cyberbeveiliging en privacy van het voertuig vanaf het ontwerp in aanmerking worden genomen, evenals alle elementen waarmee het vervolgens zal interageren, zoals oplaadsystemen, de wegen waarop het rijdt of verkeersbeheersystemen, waarbij rekening wordt gehouden met de toeleveringsketen van het voertuig en de onderliggende verantwoordelijkheden voor het geval er iets misgaat.

Om cybersecurity en privacy vanaf het ontwerp te integreren, moet er een cultuur van cybersecurity worden bevorderd bij fabrikanten van voertuigen en reserveonderdelen, zodat zij cybersecuritybeleid kunnen definiëren en beheren, mensen kunnen trainen, levenscycli kunnen aannemen voor de ontwikkeling van voertuigen en nadenken over reacties op mogelijke cyberdreigingen en cyberaanvallen. Het opleiden van gebruikers omvat het kennen van de cybersecuritystatus van hun voertuigen en hun verantwoordelijkheden in geval van cybersecurityfouten.