Artículo elaborado conjuntamente por:
Ángel Pérez Beumala – Gerente de Organización y Ciberseguridad
Antonio Fontiveros Pérez – Responsable de Ciberseguridad
Introducción
Aunque este artículo trata sobre la ciberseguridad, es primordial destacar que la principal preocupación en el sector de transporte por carretera es la seguridad vial, es decir, reducir el número de víctimas por accidente. El objetivo europeo es conseguir Cero Victimas en el año 2050.
La aplicación de las nuevas tecnologías al sector del transporte por carretera está contribuyendo de forma clave en la reducción de los accidentes. El último estudio RoadTech realizado por The Economist Intelligence Unit (EIU) para Abertis, estima en un 90% la reducción de víctimas mortales mediante el uso de vehículos autónomos.
Sin embargo, la implantación de estas tecnologías introducirá nuevos riesgos tecnológicos procedentes tanto de los vehículos conectados y autónomos como de los dispositivos instalados en la infraestructura viaria. Un ciberataque a este ecosistema IoT en la carretera puede llegar a representar una amenaza a la seguridad de las personas.
Dispositivos IoT en la carretera
El gran protagonista en la carretera es el vehículo, actualmente Vehículo Conectado pero que progresivamente va desplegando prestaciones de Vehículo Autónomo.
Los vehículos conectados ya son una realidad y los podemos considerar como un “superdispositivo” IoT que además está gestionado por particulares. Cada vez aparecen en el mercado más vehículos que disponen de señal GPS y 4G. Pronto comenzarán a disponer también de conectividad G5. Ejemplos como el eCall obligatorio en los vehículos nuevos desde hace unos meses realiza una llamada al 112 y envía la señal GPS y otra información del vehículo como el número de bastidor.
Comenzamos a tener experiencias con vehículos autónomos, la Sociedad de Ingenieros Automotrices (SAE) ha establecido un esquema de 5 niveles según el nivel de automatización:
Nivel 1 – Asistente de conducción
El sistema algunas veces realiza alguna parte de la tarea.
Ejemplos: Sistema de control de crucero, Mantenimiento del vehículo en el carril, Aparcamiento asistido (sólo dirección).
Nivel 2 – Autonomía parcial
El sistema realiza alguna tarea de conducción
El conductor continúa monitorizando todo y haciendo todas las tareas básicas.
Ejemplos: Asistentes para atascos del tráfico, Sistemas de aparcamiento asistido (dirección, freno y acelerador), Mercedes Drive Pilot, Volvo Pilot Assist, Nissan ProPilot.
Nivel 3 – Autonomía condicional
El sistema puede realizar algunas tareas y monitorizar el entorno en algunos casos. El conductor debe estar disponible para tomar el control cuando el sistema lo requiere
El sistema Autopilot de Tesla se encuentra en este segmento.
Nivel 4 – Alta autonomía
En casos definidos (por ejemplo, un carril segregado de autopista), no se precisa conductor, el sistema toma todas las decisiones, pudiendo conducir y monitorizar el entorno.
Ya hay diversas pruebas de coches, autobuses y camiones en circuitos controlados.
Nivel 5 – Plena autonomía
El sistema lo hace todo, ha desaparecido el volante.
Recientemente Volvo ha presentado Vera, su camión eléctrico autónomo de nivel 5 que es controlado y monitoreado mediante un servicio cloud.
Parece razonable suponer que las primeras experiencias reales de autonomía Nivel 4 tendrán lugar en las vías de alta capacidad por su menor complejidad de gestión frente a las vías urbanas.
La carretera no es ajena a la transformación digital, desde hace ya tiempo se han desplegado multitud de dispositivos del ámbito IoT de distinta naturaleza. En vías de alta capacidad el número de dispositivos IoT por kilómetro gestionado se duplica cada dos años:
Con la aparición del vehículo conectado y del vehículo autónomo se prevén nuevos dispositivos IoT en la infraestructura:
Riesgos de ciberseguridad en la carretera
Las vulnerabilidades ya conocidas en ciberseguridad se extienden a todos estos nuevos dispositivos conectados. Los ciberincidentes en el contexto de la carretera no son nuevos:
Riesgos que afectan a los dispositivos IoT
Los dispositivos IoT, al estar conectados, se encuentran al alcance de cualquier individuo que pueda tener interés en obtener un beneficio personal o económico de los fallos de seguridad que puedan tener. Incluso podrían llegar a obtener el control total de estos dispositivos para conseguir objetivos ilícitos.
El caso con mayor relevancia, en este ámbito, es la botnet Mirai. En el caso de Mirai se considera que centenares de miles de dispositivos IoT (principalmente routers y cámaras de videovigilancia) se encuentran infectados y han sido utilizados por quienes tienen el control de esta botnet para ocasionar diferentes ciberincidentes. El mayor ataque de esta botnet se produjo en Octubre de 2016 cuando se ordenó a los dispositivos de esta botnet que atacaran de forma conjunta a la empresa Dyn que gestiona el servicio de resolución de nombres en Internet (DNS) para grandes corporaciones americanas. El incidente causó la caída durante varias horas de servicios como: Airbnb, Amazon, CNN, HBO, Netflix, Paypal, Spotify y Twitter.
¿Cómo podrían afectar estos riesgos a los vehículos conectados y a los dispositivos IoT de la carretera? Se nos ocurren algunos ejemplos:
¿A quién afectarán estos incidentes?
Es evidente la necesidad de definir y desplegar una estrategia de ciberseguridad vial que incluya planes de respuesta integrales a futuros incidentes.
Marco normativo
Con la entrada en vigor, en mayo de 2018, del Reglamento General de Protección de Datos (GDPR) y la aprobación del Real Decreto-ley 12/2018, de 7 de septiembre, de Seguridad de las Redes y sistemas de Información (Transposición de la Directiva NIS), las empresas que gestionen este ecosistema se encuentran, entre otras obligaciones, con la necesidad de mantener la diligencia debida para preservar la privacidad de los datos y con el compromiso de notificar los ciberincidentes a las autoridades.
¿Quiénes serán responsables y encargados de los tratamientos? ¿Quién deberá notificar a las autoridades? ¿Los fabricantes de los vehículos, los fabricantes de los dispositivos, los gestores de la infraestructura, los gestores de entornos de big data, …?
Prevención y gestión de riesgos
Los riesgos son intrínsecos a la tecnología IoT, por lo tanto, nunca los podremos eliminar totalmente. Sin embargo, deberíamos reducirlos a un nivel asumible por el usuario final (ya sea una empresa o un particular).
El mercado requiere dispositivos baratos y sencillos. Los fabricantes desean obtener ventajas competitivas y presentar sus productos antes que la competencia. Tanto fabricantes como usuarios priorizan la funcionalidad respecto a la seguridad
Para proteger los dispositivos IoT existen una serie de recomendaciones que deberían ser seguidas por los fabricantes y exigidas por los usuarios finales. A continuación, se muestran las principales buenas prácticas definidas en la “Marca de Garantía de confianza en ciberseguridad para entornos IoT” definida por el Centro de Estudios en Movilidad e IoT de ISMS Forum Spain:
Referencias
Si te haces socio de ISMS Forum, formarás parte de la mayor red activa de organizaciones y expertos comprometidos con la Seguridad de la Información en España.
