NewsSicurezza

I rischi di sicurezza informatica per le auto connesse (e come affrontarli)

Omar Morando, Head of OT Cybersecurity & Innovation Lab di Sababa Security, ci spiega come proteggere i veicoli

Quali sono i rischi di sicurezza informatica per le auto connesse? Come possono le aziende gestirle e affrontarle, aumentando la cybersecurity dei veicoli? Abbiamo chiesto a Omar Morando, Head of OT Cybersecurity & Innovation Lab di Sababa Security, di aiutarci a fare chiarezza su questo argomento. Che con la grande crescita di auto connesse online, rischia di diventare un problema di sicurezza “fisica” oltre che informatica. O almeno, lo potrebbe diventare se non si adottassero le giuste contromisure.

Rischi di sicurezza per le auto connesse, il punto di Sababa Security

Omar Morando dirige il reparto OT Cybersecurity & Innovation Lab di Sababa Security, una delle aziende di riferimento nel campo della sicurezza informatica. Avevamo già avuto l’occasione di discutere con Morando di come la cybersecurity sia diventata una sfida cruciale per il settore della automotive, soprattutto in un’epoca in cui i veicoli sono sempre più connessi e intelligenti.

Ma abbiamo voluto discutere più nei dettagli quali siano i principali rischi informatici che la connettività offre ai produttori e agli utenti di automobili. E quali sono le soluzioni innovative che Sababa Security propone per garantire la protezione dei dati e dei sistemi.

Omar Morando - CTO di Sababa Security (3)-min
Omar Morando – Head of OT Cybersecurity & Innovation Lab di Sababa Security

Sicurezza informatica e auto connesse: i vettori d’attacco

Qualsiasi oggetto in rete può, teoricamente, subire un incidente di sicurezza informatica: le auto connesse non sono un’eccezione. Ma quali sono i principali vettori di attacco di un veicolo?

“I vettori di attacco di un veicolo connesso sono molteplici: dagli ambienti di produzione, agli interni del veicolo, arrivando anche alle interfacce esterne (per esempio, bluetooth, Wi-Fi, ecc.) e alle applicazioni web e mobile, fino all’infrastruttura cloud. Prendiamo per esempio gli ambienti di produzione, se un fornitore dell’industria automobilistica produce la scheda elettronica di controllo del cambio in un suo sito di produzione, quel sito di produzione può essere attaccato è arrivare a produrre una centralina di controllo con un malware già inserito all’interno“.

Oltre il perimetro: i rischi quando i cybercriminali prendono il controllo

Se i vettori d’attacco sono molteplici, diverse sono anche le minacce che un attaccante può porre in essere una volta che ha avuto accesso al veicolo. Soprattutto, come Morando ci spiega, perché l’attaccante può trovarsi ovunque nel mondo. La sicurezza informatica diventa quindi sicurezza fisica.

Proteggiti con Bitdefender, Leader in Cybersecurity

Partiamo dal presupposto che l’attacco ad un veicolo connesso non richiede necessariamente che l’attaccante sia in prossimità del target. Per esempio, lo scorso anno, in Germania, David Colombo ha attaccato 25 Tesla sparse in giro per il mondo, introducendosi nel software di queste vetture elettriche e riuscendo a prendere il controllo di alcune funzionalità, come l’accensione delle luci e dell’impianto audio. Gli attacchi quindi possono avvenire non solo in prossimità dell’autoveicolo, ma anche da remoto, questo significa che così come si può alzare ed abbassare un finestrino, si può anche riuscire a interagire in modo malevolo con le centraline che controllano i sistemi frenanti, quello sterzante o quello di mantenimento della carreggiata e così via. I rischi sono quindi anche in ambito di safety e non solo di security”.

cybersecurity automotive sababa security-min

C’è anche un problema di perdita dei dati personali. Pensiamo, per esempio, alle auto elettriche che si collegano alle colonnine di ricarica. Quando ciò accade, la macchina trasmette una serie di informazioni, tra cui i dati personali del conducente, l’account utilizzato per il pagamento, i dettagli della carta di credito utilizzata e così via”.

Come rispondere: le soluzioni di Sababa Security

Considerando i rischi di security e safey, Morando ci spiega quali sono le soluzioni pensate da Sababa Security. “Il portfolio di Sababa Security in ambito automotive è molto ampio. Partiamo da un servizio di Assessment & Compliance per aiutare gli OEM, i loro fornitori e altre aziende del settore ad essere conformi rispetto a framework quali IEC 62443, ISO/SAE 21434, UNECE R155-156 ed altri. Di fatto, conoscere i gap e i rischi rilevanti per la sicurezza, definirne la priorità ed eliminarli getta le basi per l’implementazione di misure di sicurezza più avanzate in futuro. Lo scopo è proprio quello di esaminare lo stack tecnologico in uso, i processi, le procedure e le policy di sicurezza, definirne il livello di maturità e le aree di miglioramento per poi delineare il percorso da seguire per soddisfare i requisiti normativi.

Consulenza e Penetration test

Sababa offre anche un “servizio di Security Consulting, con cui affianchiamo il cliente affinché possa implementare le misure mancanti in termini di cybersecurity per garantire che le linee di produzione, i veicoli e le singole ECU siano sicure dal punto di vista informatico per tutto il ciclo di vita“.

Molto interessante anche la possibilità di testare la sicurezza informatica delle auto connesse in maniera diretta. “Eseguiamo Penetration Test per verificare nel concreto se un veicolo, i suoi componenti e le relative infrastrutture sono sicuri dal punto di vista informatico. Durante l’attività, cerchiamo di ottenere il massimo dei privilegi possibili, utilizzando le stesse tecniche che utilizzerebbero gli hacker, fornendo poi informazioni sulle vulnerabilità scoperte e sui potenziali rischi nel caso queste venissero sfruttate”.

“Abbiamo poi un servizio di Analisi delle Compromissione tramite cui svolgiamo indagini su incidenti informatici sui veicoli e le loro infrastrutture attraverso fonti open source, deep web e darknet e fornendo poi al cliente report dettagliati con dati relativi al threat actor, alle sue tattiche, alle sue tecniche e alle sue procedure”.

Ultimo, ma non per importanza, il training. Offriamo programmi di formazione specifici di cybersecurity per aziende ed esperti del settore automotive, che comprendono sia corsi generali di sensibilizzazione alla sicurezza sia corsi avanzati per ruoli strettamente legati alla cybersecurity”.

L’Automotive Testbed

Sababa ha anche sviluppato soluzioni per mettere alla prova la sicurezza informatica delle auto connesse in maniera più semplice ed efficace.

Sababa Automotive Testbed-min
Omar Morando, Chief Technology Officer di Sababa Security, Nicola Vincis, Automotive Security Expert di Sababa Security, Luana Bosio, Innovation & Project Manager di Sababa Security, e Roberto Caviglia, PhD student.

Abbiamo inoltre sviluppato un automotive testbed proprietario che riproduce l’architettura standard di un veicolo, racchiusa in una valigetta portatile. L’obiettivo del progetto è fornire alle case automobilistiche e ai fornitori uno strumento per formare i penetration tester automotive sulle attività richieste dalle normative UNECE R155 e R156″.

Per quanto riguarda la valutazione della sicurezza informatica in sé, questa avviene proprio tramite il primo servizio citato (Assessment & Compliance) che utilizza principalmente 3 standard di riferimento. In primis, la nuova regolamentazione UNECE R155 e R156 che impone i temi cyber nell’automotive, sostenuta dallo standard ISO/SAE 21434 – un framework di riferimento che in maniera molto dettagliata e tecnica specifica in che modo i temi cyber devono essere applicati in ambito automotive – e infine l’IEC 62443 che invece descrive gli aspetti tecnici e di processo in materia di cybersecurity per i sistemi OT e di automazione e controllo. Queste linee guida devono essere chiaramente applicate lungo l’intero ciclo di vita del veicolo, a partire dal Concept fino all’Operations, cioè da quando il veicolo viene pensato a quando viene rottamato”.

Come aumentare la sicurezza informatica delle auto connesse

I rischi di sicurezza informatica per le auto connesse sono molte, ma le risposte sembrano all’altezza. Ma come deve fare un’azienda per assicurare la maggior resistenza agli attacchi?

“Ciò che le aziende devono fare è limitarsi a seguire gli standard di riferimento sopracitati che contengono chiare indicazioni su come implementare i temi cyber. Partendo dalla definizione ed identificazione del rischio (risk assessment) a cui il mio veicolo è esposto, bisogna stabilire un piano di mitigazione che prevede un monitoraggio continuo delle vulnerabilità e dei rischi cyber, una gestione dei potenziali rischi identificati ed un piano di Incident Response che tempestivamente possa far fronte ad un eventuale attacco cyber”.

Quindi, ci sono best practice da seguire?

La vera best practice che mi sento di condividere è che se si vuole risolvere il problema della sicurezza informatica in ambito automotive bisogna affrontarlo seriamente e non sottovalutarlo. Per farlo bisogna strutturarsi in modo da affrontare il tema della sicurezza informatica dal concept all’operations, come precedentemente detto. Per farlo, è necessario mettere in piedi un Cyber Security Management System che ha proprio lo scopo di definire e applicare le linee guide cyber per l’intero ciclo di vita del nostro veicolo, da quando viene concepito, alla scelta dei fornitori, alla scelta dei componenti che i fornitori andranno a implementare, alla gestione dei rischi, alla governance, alla diffusione della cultura fino ad un miglioramento continuo. Sono delle fasi estremamente importanti”.

Potete trovare ulteriori informazioni sul sito di Sababa Security.

Da non perdere questa settimana su Techbusiness

✒️ La nostra imperdibile newsletter Caffellattech! Iscriviti qui 
 
🎧 Ma lo sai che anche Fjona ha la sua newsletter?! Iscriviti a SuggeriPODCAST!
 
📺 Trovi Fjona anche su RAI Play con Touch - Impronta digitale!
 
💌 Risolviamo i tuoi problemi di cuore con B1NARY
 
🎧 Ascolta il nostro imperdibile podcast Le vie del Tech
 
💸E trovi un po' di offerte interessanti su Telegram!

Stefano Regazzi

Il battere sulla tastiera è la mia musica preferita. Nel senso che adoro scrivere, non perché ho una playlist su Spotify intitolata "Rumori da laptop": amo la tecnologia, ma non fino a quel punto! Lettore accanito, nerd da prima che andasse di moda.

Ti potrebbero interessare anche:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Back to top button