Cybersikkerhed for autonome køretøjer
Jo mere transportsystemer moderniseres og bliver autonome, jo mere kan de hackes. Internationale standarder fra organisationer som IEC kan levere de relevante cybersikkerhedskrav.
I januar blev Italiens maritime navigationssystemer, der styrer fartøjer i Middelhavet, angiveligt manipuleret. Hackeren var en 15-årig skoledreng. Selvom intet andet end teenage-ondskab ser ud til at have været motivationen ved denne lejlighed, var cybersikkerhedseksperter på vagt. Sagen fremhæver behovet for, at organisationer overalt sikrer deres transportsystemer, efterhånden som skibe, tog og biler bliver mere og mere autonome. Autonome køretøjer (AV'er) udgør en særlig alarmerende trussel, da verden har været vidne til et stigende antal hændelser, der involverer lastbiler og varevogne brugt som våben i terrorangreb.
Udfordringen med tilsluttede køretøjer
I 2030 vil 95 % af de nye køretøjer, der sælges globalt, være tilsluttet, mens antallet i drift vil stige fra 192 millioner i 2023 til 367 millioner i 2027. Sidste år blev "massive- globale hændelser" fra hackere rettet mod forbundne køretøjer og tjenester tredoblet fra 5 % til 19 % ifølge en datasikkerhedsspecialist.
Det er ikke kun digitaliseringen af næsten alle aspekter af køretøjskontrol og kommunikation, der rejser truslen om cyberangreb. Det er, at den indbyrdes forbundne karakter af autonome transportsystemer skaber en enorm angrebsflade for kriminelle. Selvkørende-køretøjer bruger skytjenester, GPS, sensorer, kameraer og kommunikationsnetværk til at fungere. De er forbundet til andre Internet of Things (IoT) enheder, hvilket gør dem sårbare over for cyberangreb og hackere.
Mens bilindustrien kæmper med problemet, er regeringerne også bekymrede. "Et stort cyber-terrorangreb rettet mod operativsystemerne på mange selvkørende-køretøjer samtidigt kan forårsage masseofre," var det katastrofale scenarie, som britiske parlamentsmedlemmer præsenterede efter deres egen undersøgelse af autonome biler. Parlamentsmedlemmerne konkluderede, at selvkørende-køretøjer udgør cybersikkerhedsrisici "på grund af deres forbundne snarere end automatiserede muligheder".
IoT-forbindelse er det svage led
Bilindustrien har i mindst et årti været opmærksom på, hvordan en ondsindet aktør kan fjernudnytte sårbarheder, herunder IoT-funktioner og komponenter, der ikke er cybersikre, til at invadere brugerdata og kontrollere et køretøjs kernefunktioner, såsom bremsning eller acceleration. Ifølge denne artikel af et cybersikkerhedsfirma omfatter målene nu avancerede førerassistancesystemer (ADAS), kommunikation fra køretøj-til-alt (V2X) og--luft-opdateringer (OTA).
Og det sker allerede. Automotive hacks, hvor angribere formåede at fjernstyre køretøjer og var i stand til at udnytte systemets mangler til at "sætte chauffører, passagerer eller fodgængeres liv i fare" steg dramatisk i 2024 til at tegne sig for over 35% af alle tilfælde af cyberangreb i biler. "Trusselsaktører implementerer nu store-, sofistikerede, AI-drevne angreb rettet mod ikke kun køretøjer, men også EV-opladningsinfrastrukturen, API-drevne applikationer og smarte mobilitets-IoT-enheder," siger rapportens forfattere. "Denne voksende angrebsflade kræver en transformativ, pro-aktiv tilgang til cybersikkerhed." Da angreb på selvkørende køretøjer i stigende grad retter sig mod V2X-protokoller frem for andre enklere elementer i køretøjerne, anses det for at være afgørende at vedtage en standard{11}drevet tilgang til cybersikkerhed på tværs af hele produktets livscyklus.
En sikker bilfremtid
Adskillige etablerede standarder udgør blokkene for at opbygge forsyningskædens tillid på tværs af hele produktets livscyklus. IEC 62443-serien af standarder definerer krav og processer til implementering og vedligeholdelse af elektronisk sikre industrielle automatiserings- og kontrolsystemer. Disse standarder fastsætter bedste praksis for sikkerhed og giver mulighed for at vurdere niveauet af sikkerhedsydelse, herunder inden for transport. Tilgangen til cybersikkerhedsudfordringen er holistisk, der bygger bro mellem drift og IT samt mellem processikkerhed og cybersikkerhed.
ISO/SAE 21434 er standarden for cybersikkerhedsteknik i biler. Det giver en omfattende ramme til at identificere, vurdere og afbøde cybersikkerhedsrisici på tværs af forsyningskæden. Standarden dækker hele et køretøjs livscyklus, fra idé til nedlukning. Derudover opfylder ISO/SAE 21434 FN-regulativ 155 (R155), som sikrer, at cybersikkerhedsstyringssystemer (CSMS) tager en systematisk tilgang til risikostyring.
Overholdelse af sådanne standarder er blevet obligatorisk for producenter og deres leverandører, hvilket gør det afgørende for alle involverede parter at have robuste cybersikkerhedsforanstaltninger på plads. Mens R155 kun er obligatorisk i EU, Japan og Korea, bruges dens krav af de fleste bilproducenter som en bedste praksis over hele kloden.
IECEE's industrielle cybersikkerhedsprogram, IEC System of Conformity Assessment Schemes for Electrotechnical Equipment and Components, tester og certificerer cybersikkerhed i industriautomationssektoren. IECEE inkluderer et program, der giver certificering til standarder inden for IEC 62443-serien.
Maritim cyberresiliens
Cyberangreb på rederier er blevet almindeligt-sted. Midt i en voksende erkendelse af risikoen er det få i industrien, der mener, at indsatsen for at bekæmpe truslerne er tilstrækkelig.
Maritime systemer er ligesom jernbanekontrolsystemer ofte forældede og dårligt beskyttede. Skibe bliver i stigende grad målrettet gennem deres GPS-systemer, hvilket kan påvirke navigationen. Deres automatiske identifikationssystemer (AIS) kan også hackes og endda spoofes. AIS er et essentielt sikkerhedssystem, som bruger radiosignaler, der hjælper maritime køretøjer med at identificere og holde styr på hinanden og derved forhindre kollisioner. Så meget som det er vigtigt, kan det blive et svagt led for cyberangreb.
"Et skib er som en flydende fabrik," beskriver en maritim informationsudbyder. "Der er masser af systemer, der taler sammen, og de er ikke beskyttede. Normalt er der ingen kryptering eller autentificering. Det er nemt at hacke individuelle systemer. Det er ligesom at hacke en Tesla, bortset fra at den er meget større."
IEC har offentliggjort internationale standarder, der specificerer cybersikkerhedsforanstaltninger for skibe. Et af dets tekniske udvalg, IEC TC 80, har påtaget sig rollen som udvikling af internationale standarder for Global Maritime Distress and Safety System (GMDSS), et internationalt aftalt sæt sikkerhedsprocedurer og kommunikationsprotokoller, der bruges til at øge sikkerheden og gøre det lettere at redde skibe i nød. IEC TC 80 udsteder IEC 63154, som specificerer krav til standarder for at give et grundlæggende niveau af beskyttelse mod cyberhændelser (dvs. ondsindede forsøg, som faktisk eller potentielt resulterer i negative konsekvenser for udstyr, deres netværk eller de oplysninger, de behandler, lagrer eller transmitterer).
Hackere og cyberkriminelle bliver mere sofistikerede og bruger nye digitale teknologier til at få adgang til data og tage kontrol over transportsystemer. Men værktøjer, såsom internationale standarder, er til for at beskytte transportindustrien, når de investerer for at modernisere. Ved at følge de trin, der er beskrevet i standarderne, kan mange af risiciene undgås.