Ciberseguridad para vehículos autónomos
Cuanto más se modernizan y se vuelven autónomos los sistemas de transporte, más pueden ser pirateados. Los estándares internacionales de organizaciones como IEC pueden proporcionar los requisitos de seguridad cibernética adecuados.
En enero, se informó que los sistemas de navegación marítima de Italia que gobiernan los buques en el Mar Mediterráneo fueron manipulados. El hacker era un escolar de 15-años. Si bien nada más que la picardía adolescente parece haber sido la motivación en esta ocasión, los expertos en ciberseguridad estaban alerta. El caso destaca la necesidad de que las organizaciones de todo el mundo protejan sus sistemas de transporte a medida que los barcos, trenes y automóviles se vuelven cada vez más autónomos. Los vehículos autónomos (AV) representan una amenaza particularmente alarmante, ya que el mundo ha sido testigo de un número creciente de incidentes relacionados con camiones y furgonetas utilizados como armas en ataques terroristas.
El desafío de los vehículos conectados
Para 2030, el 95 % de los vehículos nuevos vendidos en todo el mundo estarán conectados, mientras que el número en servicio aumentará de 192 millones en 2023 a 367 millones en 2027. El año pasado, los "incidentes globales de escala- masiva" de piratas informáticos dirigidos a vehículos y servicios conectados se triplicaron del 5 % al 19 %, según un especialista en seguridad de datos.
No es sólo la digitalización de casi todos los aspectos del control de vehículos y las comunicaciones lo que aumenta la amenaza de ciberataques. Es que la naturaleza interconectada de los sistemas de transporte autónomos crea una vasta superficie de ataque para los delincuentes. Los vehículos autónomos-utilizan servicios en la nube, GPS, sensores, cámaras y redes de comunicación para funcionar. Están conectados a otros dispositivos de Internet de las cosas (IoT), lo que los hace vulnerables a ciberataques y piratas informáticos.
Mientras la industria automotriz se enfrenta al problema, los gobiernos también están preocupados. "Un gran ataque ciber-terrorista dirigido a los sistemas operativos de muchos-vehículos autónomos simultáneamente podría causar un gran número de víctimas", fue el escenario catastrófico presentado por los parlamentarios británicos después de su propia investigación sobre los coches autónomos. Los parlamentarios concluyeron que los vehículos autónomos-presentan riesgos de ciberseguridad "debido a sus capacidades conectadas en lugar de automatizadas".
La conectividad IoT es el eslabón débil
La industria automotriz ha sido consciente durante al menos una década de cómo un actor malintencionado podría explotar de forma remota vulnerabilidades, incluidas funcionalidades y componentes de IoT que no son ciberseguros, para invadir los datos del usuario y controlar las funciones principales de un vehículo, como frenar o acelerar. Según este artículo de una empresa de seguridad cibernética, los objetivos ahora incluyen sistemas avanzados de asistencia al conductor (ADAS), comunicaciones entre vehículos-a-todos (V2X) y actualizaciones inalámbricas-(OTA).
Y ya está sucediendo. Los ataques a automóviles en los que los atacantes lograron controlar vehículos de forma remota y pudieron aprovechar las deficiencias del sistema para "poner en peligro la vida de conductores, pasajeros o peatones" aumentaron dramáticamente en 2024 hasta representar más del 35% de todos los casos de ciberataques a automóviles. "Los actores de amenazas ahora están implementando ataques sofisticados, a gran-escala, impulsados por IA-dirigidos no solo a los vehículos sino también a la infraestructura de carga de vehículos eléctricos, aplicaciones impulsadas por API-y dispositivos IoT de movilidad inteligente", afirman los autores del informe. "Esta superficie de ataque en expansión exige un enfoque transformador y pro-activo hacia la ciberseguridad". Dado que los ataques a vehículos autónomos se dirigen cada vez más a los protocolos V2X en lugar de a otros elementos más simples de los vehículos, se considera crucial adoptar un enfoque de ciberseguridad basado en estándares-a lo largo de todo el ciclo de vida del producto.
Un futuro automovilístico seguro
Varios estándares establecidos proporcionan los pilares para generar confianza en la cadena de suministro a lo largo de todo el ciclo de vida del producto. La serie de normas IEC 62443 define los requisitos y procesos para implementar y mantener sistemas de control y automatización industrial electrónicamente seguros. Estos estándares establecen las mejores prácticas para la seguridad y proporcionan una manera de evaluar el nivel de desempeño de la seguridad, incluso en el transporte. El enfoque del desafío de la ciberseguridad es holístico y cierra la brecha entre las operaciones y la TI, así como entre la seguridad de los procesos y la ciberseguridad.
ISO/SAE 21434 es el estándar para la ingeniería de ciberseguridad automotriz. Proporciona un marco integral para identificar, evaluar y mitigar los riesgos de ciberseguridad en toda la cadena de suministro. La norma cubre todo el ciclo de vida de un vehículo, desde el concepto hasta el desmantelamiento. Además, ISO/SAE 21434 cumple con el Reglamento 155 (R155) de las Naciones Unidas, que garantiza que los sistemas de gestión de seguridad cibernética (CSMS) adopten un enfoque sistemático para la gestión de riesgos.
El cumplimiento de dichos estándares se ha vuelto obligatorio para los fabricantes y sus proveedores, por lo que es crucial que todas las partes involucradas cuenten con medidas sólidas de ciberseguridad. Si bien el R155 es obligatorio sólo en la UE, Japón y Corea, la mayoría de los fabricantes de automóviles utilizan sus requisitos como una mejor práctica en todo el mundo.
El programa de ciberseguridad industrial de IECEE, el Sistema IEC de Esquemas de Evaluación de la Conformidad para Equipos y Componentes Electrotécnicos, prueba y certifica la ciberseguridad en el sector de la automatización industrial. IECEE incluye un programa que proporciona certificación de estándares dentro de la serie IEC 62443.
Ciberresiliencia marítima
Los ataques cibernéticos a las empresas navieras se han convertido en algo común-. En medio del creciente reconocimiento del riesgo, pocos dentro de la industria creen que los esfuerzos para combatir las amenazas sean suficientes.
Los sistemas marítimos, al igual que los sistemas de control ferroviario, suelen estar obsoletos y mal protegidos. Los barcos son cada vez más atacados a través de sus sistemas GPS, lo que puede afectar la navegación. Sus sistemas de identificación automática (AIS) también pueden ser pirateados e incluso falsificados. AIS es un sistema de seguridad esencial que utiliza señales de radio, ayudando a los vehículos marítimos a identificarse y seguirse unos a otros, evitando así colisiones. Por muy esencial que sea, puede convertirse en un eslabón débil para los ciberataques.
"Un barco es como una fábrica flotante", describe un proveedor de información marítima. "Hay muchos sistemas que se comunican entre sí y no están protegidos. Por lo general, no hay cifrado ni autenticación. Es fácil piratear sistemas individuales. Es como piratear un Tesla, excepto que es mucho más grande".
La IEC ha publicado normas internacionales que especifican medidas de ciberseguridad para los buques. Uno de sus comités técnicos, IEC TC 80, ha asumido la función de desarrollar normas internacionales para el Sistema Mundial de Seguridad y Socorro Marítimos (GMDSS), un conjunto de procedimientos de seguridad y protocolos de comunicación acordados internacionalmente que se utilizan para aumentar la seguridad y facilitar el rescate de buques en peligro. IEC TC 80 emite IEC 63154, que especifica requisitos para que las normas proporcionen un nivel básico de protección contra incidentes cibernéticos (es decir, intentos maliciosos, que real o potencialmente resultan en consecuencias adversas para los equipos, sus redes o la información que procesan, almacenan o transmiten).
Los piratas informáticos y los ciberdelincuentes son cada vez más sofisticados y utilizan nuevas tecnologías digitales para acceder a datos y tomar el control de los sistemas de transporte. Pero existen herramientas, como las normas internacionales, para proteger a las industrias del transporte mientras invierten para modernizarse. Siguiendo los pasos descritos en las normas, se pueden evitar muchos de los riesgos.