Výrobci automobilů musí od července 2024 chránit všechny nové vozy před kybernetickými útoky

Výrobci automobilů řešili doposud otázky kybernetické bezpečnosti podle vlastního uvážení. Pracovní skupina při OSN ale přijala předpis č. 155, který nařizuje, že od července 2024 musí být všechna nově prodávaná auta na území EU chráněna proti kybernetickým útokům. Tento předpis se vztahuje na vozidla kategorie M a N, tedy osobní a nákladní automobily.

„K pojmům jako aktivní a pasivní bezpečnost se tedy u automobilů oficiálně přidává i kybernetická bezpečnost. Předpis 155 OSN požaduje, aby výrobci automobilů a jejich dodavatelé zavedli systém řízení kybernetické bezpečnosti (CSMS), který zajistí, že kybernetická bezpečnost je integrována do životního cyklu vozidla. CSMS by měl zahrnovat procesy pro identifikaci, analýzu, hodnocení a řízení kybernetických rizik, stejně jako opatření pro prevenci, detekci, odezvu a obnovu po kybernetických incidentech,“ říká Ondřej Ševeček z Počítačové školy GOPAS.

Předpis uvádí jako příklady 70 problematických míst, ale je pouze rámcový, protože změny se v této oblasti dějí neustále a rychle. Testovací technici musí s hackery držet krok a trvale se v dané oblasti vzdělávat. Během testů jsou to právě oni, kdo se snaží v roli etických hackerů ochranu auta prolomit. Podle předpisu patří mezi problematická místa ty části vozidla, které jsou propojeny s komunikačními rozhraními, jako jsou například diagnostické porty, bezdrátové moduly, senzory, kamerové systémy, navigační jednotky, displeje, řídicí jednotky nebo multimediální systémy. Tyto části mohou být zranitelné vůči kybernetickým útokům, které by mohly ohrozit funkčnost, bezpečnost nebo soukromí vozidla.

Kromě toho předpis 155 OSN odkazuje na předpis 156 OSN, který upravuje bezpečnost aktualizace softwaru vozidel. Výrobci automobilů a jejich dodavatelé musí zavést systém řízení aktualizace softwaru (SUMS), který zajistí, že aktualizace softwaru jsou prováděny bezpečným způsobem, a to jak prostřednictvím bezdrátové aktualizace, tak i jinými prostředky. SUMS by měl také zahrnovat procesy pro sledování, testování, schvalování a dokumentování změn softwaru, stejně jako způsoby informování zákazníků a orgánů o aktualizacích. Pokud by automobilka uvedla na trh vůz bez vyčerpávající analýzy rizik a homologace, vystavuje se potenciálně vysoké pokutě.

Elektronika v autě

Nejprve sloužil hacking automobilových systémů k vniknutí do vozidla a jeho krádeži. S rostoucím množstvím elektronických prvků ale stoupá i jejich zranitelnost. Luxusnější moderní automobil v sobě skrývá stovky elektronických prvků, více než 4 km kabelů a drátů a miliony řádků softwarového kódu.

Čím více mají moderní automobily elektroniky a čím více jsou připojeny k systémům, tím jsou zranitelnější i z pohledu kyberbezpečnosti. S růstem připojeného softwaru v autech úměrně roste i hrozba hackerského útoku na něj. Hackeři jej zneužívají k neoprávněnému přístupu do vozidla nebo ke krádeži. Rizikem mohou být i dobíjecí stanice. Přes auta se dají napadat i další systémy. Například dobíjení elektromobilu u veřejné dobíjecí stanice může být rizikové a dává možnost průniku do domácích a firemních sítí.

„Většina moderních automobilů je vybavena internetovým připojením, které umožňuje cestujícím a řidiči snadný přístup k zábavě, navigaci a informacím. Připojení auta k internetu ho ale vystavuje většímu nebezpečí vzdálených útoků. Stále více zařízení obsahuje čipy, které shromažďují a odesílají informace nebo jsou dokonce zapojené do firemních sítí a cloudových řešení, a jejich zabezpečení je velkou výzvou pro odborníky na kybernetickou bezpečnost,“ říká Ondřej Ševeček, odborník na bezpečnost z Počítačové školy GOPAS.