Actualidad

El mundo está cada vez más conectado, de la misma manera que nuestros automóviles. No obstante, a mayor conectividad, más datos que podrían llegar a las manos equivocadas. La ciberseguridad en la ingeniería automotriz es un sector que va viento en popa, pero la batalla aún no está ganada.

Gracias a la tecnología de Internet, nuestros automóviles no solo nos permiten realizar llamadas, sino que además nos avisan si nos estamos desviando por el carril equivocado, nos proporcionan novedades sobre el tráfico en directo o nos indican dónde está la estación de servicio más cercana. Llevarnos de A a B se antoja algo casi secundario. Sin embargo, todas estas funciones aumentan los riesgos, los cuales van desde la sustracción de nuestra información personal hasta, literalmente, hacer que nos salgamos de la carretera.

En varios experimentos realizados para probar la robustez de los sistemas de seguridad de los vehículos, los "hackers de sombrero blanco" (es decir, expertos en seguridad informática que hackean sistemas a propósito para probar y evaluar su seguridad) demostraron que es posible controlar los automóviles de forma remota. Por ejemplo, ya en 2015, estos hackers dejaron constancia de que podían tomar el control de los sistemas de aceleración y frenado de un Jeep, así como de su tablero de mando y otras cosas más. Una idea aterradora.

En otro experimento con un Tesla, expertos en seguridad informática consiguieron manipular el software de conducción autónoma del vehículo, llamado "Piloto automático", y desviarlo hacia el carril contrario. "Otros incidentes, como aquellos en los que no participan hackers de sombrero blanco, se deberían tratar con un alto nivel de confidencialidad", afirma el Dr. Gido Scharfenberger- Fabian, líder de proyecto del grupo de trabajo de expertos WG 11 del ISO/TC 22/SC 32, que trata la ciberseguridad de los componentes eléctricos y electrónicos de los vehículos de carretera.

La ciberseguridad, por tanto, es un gran negocio, especialmente si hablamos de vehículos. Distintos cálculos sobre el valor del mercado mundial de la ciberseguridad automotriz apuntan a un crecimiento desde los 1.980 millones de euros de 2019 hasta más de 4.950 millones llegado 2025. No obstante, a pesar de tratarse de un sector próspero, la guerra contra el hackeo apenas ha comenzado.

Una larga historia de datos

Recopilamos datos de nuestros automóviles desde los inicios de la década de 1990, afirma Jack Pokrzywa, director de Normas globales para vehículos terrestres de SAE International, una asociación mundial de profesionales de la ingeniería de "movilidad" y colaboradora clave de ISO. Dispositivos como los Registradores de Datos de Eventos, o la "caja negra" de un automóvil proporcionan información acerca de las operaciones de nuestro vehículo antes y después de un accidente, por ejemplo.

En la actualidad, como es natural, la tecnología está mucho más avanzada. Entre sus capacidades están la captura de información del exterior (por ejemplo, ubicación, meteorología y estado del tráfico). Por su parte, los sensores del interior del vehículo pueden recopilar datos sobre los ocupantes para proporcionar información significativa en caso de accidente. "No nos olvidemos de la información biométrica, que también registra, por ejemplo, el movimiento de los ojos para detectar la atención del conductor a fin de determinar si la persona se está quedando dormida al volante", agrega. "Además, ahora disponemos de incontables aplicaciones que se conectan al sistema operativo del vehículo, permitiendo, por ejemplo, el registro de la información de las llamadas realizadas a través del sistema de altavoces de este. Todo ello conduce a una mayor seguridad, aunque también suscita dudas acerca de la privacidad de los datos".

En algunas jurisdicciones, como Europa, el número de identificación del vehículo (VIN, por sus siglas en inglés) se considera como información de identificación personal (IIP), advierte el Dr. Markus Tschersich, otro líder de proyecto del grupo de trabajo de expertos de ISO. "Por tanto, todos los datos generados por los sistemas de los vehículos que estén asociados a un número de identificación del vehículo se pueden entender como IIP. Se trata de información que, por sí sola o combinada con otra, se puede utilizar para identificar, localizar o contactar con una persona. Por ejemplo, los datos recopilados de los sistemas de dirección o frenado y otros componentes del vehículo se pueden utilizar para obtener información de las habilidades y el comportamiento del conductor". Además, siempre que haya una conexión entre el vehículo y fuentes externas, existe la posibilidad de hackeo.

Carrera contrarreloj contra los hackers

Los automóviles actuales están repletos de software complejos y se espera que alberguen aún más en un futuro no tan lejano. Según la consultoría de gestión McKinsey & Company, los coches cuentan hoy con 100 millones de líneas de código y se cree que para 2030 la cifra se habrá triplicado. Esta cifra se compara, por ejemplo, con la de un avión de pasajeros, que supone aproximadamente 15 millones de líneas de código, o la del sistema operativo de un PC estándar, que contiene incluso 40 millones de líneas de código.

Cuanto más compleja sea la máquina, más oportunidades habrá para los ciberataques a lo largo de toda la cadena de valor.

A medida que la tecnología se integra cada vez más en los automóviles en general, el sector de la automoción se enfrenta al desafío clave de nuestra generación, en concreto, proteger la infraestructura automotriz mundial de los ciberdelincuentes que pretenden robar nuestros datos y tomar el control de los sistemas automatizados con fines maliciosos. "Las medidas de ciberseguridad deben adaptarse de generación en generación de sistemas, pero también en los sistemas sobre el terreno mediante actualizaciones", afirma el Dr. Scharfenberger-Fabian. "Se trata de un desafío que no tiene fin".

Pokrzywa señala que todo dispositivo que utilice software para funcionar puede ser hackeado. Para afrontar el problema, se necesita una amplia difusión de conocimientos en el sector y, en particular, entre los fabricantes de vehículos y sus redes de suministro. Afirma que una organización que lo hace en Estados Unidos es Automotive Information Sharing and Analysis Center (Auto-ISAC).

Los miembros del sector comparten y analizan información relativa a cualquier posible riesgo de los vehículos, contribuyendo así a consolidar las tecnologías del ámbito de la ciberseguridad. No obstante, también se necesita un planteamiento holístico a escala mundial.

Una llamada global

Es fundamental alinear los procesos y métodos de toda la cadena de suministro como base para una consideración adecuada de la ciberseguridad en la ingeniería de sistemas automotrices, afirma el Dr. Scharfenberger-Fabian. "Existen muchas normas internacionales consolidadas para la seguridad de las TI (por ejemplo, la serie ISO/IEC 27xxx), así como normas de seguridad para sectores específicos (por ejemplo, la serie IEC 62443 para sistemas de control industriales)", afirma, “pero no abordan las necesidades concretas del sector”.

En 2015, SAE International creó el Comité de Ingeniería de Sistemas de Ciberseguridad para Vehículos (Vehicle Cybersecurity Systems Engineering Committee) para abordar estas amenazas y vulnerabilidades en el mercado estadounidense. Un año después, el comité publicó su guía SAE J3061, una guía de ciberseguridad para sistemas ciber-físicos en vehículos, que define todo un marco sobre el proceso del ciclo de vida que se puede adaptar y utilizar en los procesos de desarrollo de las organizaciones para incorporar la ciberseguridad en los sistemas ciber-físicos del vehículo, desde la fase de concepto hasta el desmantelamiento, pasando por la producción, la operación y el mantenimiento.

La nueva norma internacional aprovechará las directrices de la SAE para crear una herramienta integral de ciberseguridad capaz de abordar todas las necesidades y los desafíos del sector a escala mundial. La ISO/SAE 21434 Vehículos de carretera – Ingeniería de ciberseguridad, actualmente en desarrollo, verá la luz previsiblemente en 2021 y tiene por objetivo abordar la ciberseguridad en la ingeniería de los sistemas eléctricos y electrónicos (E/E) de los vehículos de carretera. Por tanto, está previsto que el uso de la norma ayude a los fabricantes a seguir el ritmo cambiante de las tecnologías y los métodos del ciberataque.

En el proyecto participan el Dr. Scharfenberger-Fabian y el Dr. Tschersich, quienes explican que la norma pretende sustituir a la práctica recomendada de la SAE J3061. Permitirá a las organizaciones definir políticas y procesos de ciberseguridad, gestionar los riesgos y fomentar una cultura en este sector. También se puede utilizar para implementar un sistema de gestión de la ciberseguridad, incluida una gestión adecuada de los riesgos de esta de los vehículos de carretera.

Cuestión de seguridad

Para un sector que está acostumbrado a superar desafíos complejos y normalizar las respuestas, la ciberseguridad sigue siendo una anomalía sin normalizar. Así pues, ¿puede la norma prometer una auténtica ciberseguridad? "Desafortunadamente, no hay ninguna "tecnología segura" que se pueda normalizar", afirma el Dr. Tschersich, quien agrega: "ISO/SAE 21434 por sí sola no bastaría para que los automóviles sean seguros, pero los procesos descritos en ella sin duda pueden sentar las bases de una buena ingeniería de la ciberseguridad y ayudar a reforzar los sistemas".

Afirma que entre estos procesos están la evaluación de los riesgos de ciberseguridad y planteamientos para identificar y alinear las soluciones de esta para los sistemas, así como para transmitirlos por la cadena de suministro. Incluye la concepción, el desarrollo, la producción, la operación, el mantenimiento y el desmantelamiento de los sistemas eléctricos y electrónicos de los vehículos de carretera, incluidos sus componentes e interfaces.

La norma establece un marco de la ciberseguridad para los fabricantes de automóviles y plantea un idioma común para la comunicación y gestión de los riesgos de ciberseguridad. "Si bien la ISO/SAE 21434 no aborda ni impulsa las tecnologías directamente, el marco proporcionado mejorará la colaboración en materia de ciberseguridad en el sector y, por tanto, se traducirá en tecnologías y soluciones que mejoren los problemas de ciberseguridad del hoy y del mañana". Ayudará a considerar la ciberseguridad en cada etapa del desarrollo y en el campo, creando una lista de comprobación para los ingenieros con tareas tales como buscar errores, reforzando las defensas de ciberseguridad del propio vehículo y desarrollando un análisis de riesgos de las posibles vulnerabilidades de cada componente.

Afirma que la ISO/SAE 21434 es una norma muy esperada en apoyo de la legislación existente. Por ejemplo, se considera un documento de referencia para la implementación de un sistema de gestión de ciberseguridad (CSMS, por sus siglas en inglés) exigido por los recientes reglamentos de las Naciones Unidas (ONU) relacionados con la ciberseguridad de los vehículos. "Se debe a una estrecha alianza de colaboración entre el grupo de trabajo conjunto de ISO/SAE y el equipo de trabajo respectivo de la ONU", explica.

Para mejorar aún más la relación entre los reglamentos de la ONU y la normalización, recientemente se comenzó a trabajar en una especificación a disposición del público, ISO/AWI PAS 5112, que ofrece pautas para auditorías de organizaciones en materia de ingeniería de ciberseguridad. Se basará en la ISO/SAE 21434 y se prevé su uso para auditar un CSMS con arreglo a los reglamentos de la ONU.

El objetivo final es una amplia implantación de la norma en las prácticas de ingeniería cotidianas del sector, así como una mayor sensibilización como fruto de la inclusión de la norma en el currículo de capacitación de los ingenieros. “Si el desarrollo de productos se basa en unos principios sólidos incluidos en ISO/SAE 21434, la seguridad de los vehículos podría aumentarse aún más”, agrega el Dr. Scharfenberger-Fabian. La futura norma se diseñó para mejorar la ciberseguridad y la gestión de riesgos de la automoción en toda la cadena de suministro, desde el diseño y la ingeniería del vehículo hasta el desmantelamiento.

Muchos integrantes del sector ya están haciendo planes para garantizar su integración.

La batalla continúa

Aunque sigue siendo relativamente nueva, la amenaza a la ciberseguridad de los vehículos seguirá siendo una preocupación constante. Por ello, las empresas de automoción deben considerar ahora la ciberseguridad como parte integrante de sus funciones del negocio clave y sus desarrollos. "No creo que lleguemos jamás a impedir los intentos de intrusión", afirma Jack Pokrzywa, "pero si aumentamos las barreras de seguridad, sin duda podremos reducir el riesgo". También contribuirá al control de los costes de desarrollo y mantenimiento, algo ventajoso para todos los agentes del sector.

Además de la ISO/SAE 21434, el sector automoción seguirá desarrollando normas de ciberseguridad comunes para garantizar unas soluciones de extremo a extremo seguras y controlables, incluida la próxima norma para auditorías de ingeniería de ciberseguridad. El trabajo acaba de comenzar, pero con un sector centrado en proteger los sistemas automotrices en cada paso del proceso, la evolución seguirá en marcha y los vehículos que conducimos serán cada vez más seguros.

Fuente: revista.une.org