После длительного периода ожидания Министерство транспорта впервые публикует документ с рекомендациями для общественности по защите от киберинцидентов в автомобилях, а также документ с инструкциями для автосервисов и сервисных сетей о том, как защититься от наступательных кибератак. В настоящее время автопроизводители и клиенты подвержены кибератакам со стороны злоумышленников, которые могут нарушить работу автомобиля в рамках террористической атаки или, соответственно, в рамках атаки с использованием программ-вымогателей. Атака может поступить с нескольких «направлений», начиная с проникновения через обновление OTA и заканчивая проникновением через зарядную станцию для электромобиля.
Документ с рекомендациями для общественности представляет собой своего рода руководство по защите для «формирования привычек», которые позволят максимально предотвратить кибератаки. Согласно документу, существуют четыре «точки входа» для злоумышленников: мультимедийная система, подверженная установке файлов и приложений; подключение OBD, то есть физический диагностический разъем, который имеется в современных автомобилях и позволяет механику подключиться с помощью ноутбука; смарт-ключ, то есть ключ автомобиля, который можно скопировать; и беспроводная связь, то есть WIFI и Bluetooth. Документы Министерства транспорта подробно описывают риски для общественности: отслеживание местоположения автомобиля, прослушивание происходящего в салоне и утечка личной информации.
установить постоянный пароль, ограничить использование USB
Кроме того, описываются сценарии захвата контроля над автомобилем: искажение дисплея, отключение движения или даже открытие дверей, отключение кондиционера и даже кража. Публике рекомендуется не загружать в мультимедийную систему файлы из неизвестных источников и использовать только те приложения, которые одобрены автопроизводителем. Избегать установки внешнего оборудования, не одобренного производителем, ограничить подключение устройств к автомобилю, например, USB-устройств, убедиться, что подключение к мультимедийной системе было выполнено с использованием кода подтверждения, и по возможности избегать использования средств мониторинга страховых компаний, например, мониторинга молодых водителей. Кроме того, рекомендуется каждые две недели проверять, не добавилось ли в список устройств, подключенных к автомобилю, новое и неизвестное Bluetooth-устройство, и по возможности отключать точки HOTSPOT, которые есть в современных автомобилях.
Кроме того, Министерство транспорта подчеркивает, что следует обращать внимание на «необычное поведение» автомобиля. Например, систему, которая включается сама по себе, или незнакомые сообщения. Также общественности рекомендуется установить для автомобиля постоянный пароль в случае, если мультимедийная система требует постоянного подключения, и убедиться, что этот пароль трудно взломать.
Кроме того, перед продажей автомобиля Министерство транспорта рекомендует удалить сохраненные в навигационной системе постоянные пункты назначения, удалить контакты и журналы вызовов, а также отменить сопряжение с Bluetooth-устройствами.
Что касается обновлений OTA, то есть обновлений, которые используются, помимо прочего, для модернизации систем и версий программного обеспечения, общественности рекомендуется выполнять такие обновления как можно скорее. Выполнять их только из надежного источника и только через официальное приложение производителя автомобиля. Что касается смарт-ключа, рекомендуется хранить пульт дистанционного управления от входной двери в специальном чехле, блокирующем сигналы.
Рекомендации для импортеров автомобилей: отслеживать поставщиков, оценивать риски
Наряду с рекомендациями для общественности публикуются также рекомендации для импортеров и автосервисов, которые являются расширением первоначальных рекомендаций, опубликованных в прошлом году. В рамках этого от импортеров автомобилей требуется составить документ по корпоративной политике кибербезопасности, который будет обновляться ежегодно. Для этой цели импортеры назначат ответственного за киберзащиту, который будет сотрудником компании, членом руководства или будет подчиняться члену руководства. Кроме того, импортеры автомобилей создадут руководящий комитет по киберзащите, который будет собираться раз в полгода и представлять рабочие планы в этой области. Данный комитет проведет картирование активов организации, которые будут включать приложения, программное обеспечение, инфраструктуру, оборудование и актуальную сетевую архитектуру организации. Каждые 18 месяцев организация будет проводить технологический анализ рисков и проверку возможностей кибервторжения. Об этих процедурах будет сообщаться в отдел кибербезопасности Министерства транспорта.
Кроме того, импортерам автомобилей предлагается заняться также цепочкой поставок. То есть, лицами с удаленным доступом к информационным системам, поставщиками технической поддержки и другими поставщиками, которые хранят или обрабатывают информацию организации, поставщиками услуг, поставщиками оборудования, поставщиками, имеющими физический доступ к объектам организации и т. д. Поставщики будут ранжированы по уровню риска. Кроме того, контракты импортеров автомобилей с их поставщиками отныне будут включать требования по киберзащите. Наряду с этим от импортеров и автосервисов потребуется длинный ряд процедур, касающихся подключений к автомобилям клиентов, то есть подключение к автомобилям в сервисах или, например, с помощью приложений, которые импортеры используют для согласования очередей в сервисах для клиентов, будет осуществляться в соответствии с инструкциями ответственного за кибербезопасность, назначенного импортерами.
Тема киберзащиты автомобилей — это вопрос, важностью которого нельзя пренебрегать: сегодня крупные автопроизводители инвестируют значительные ресурсы в защиту автомобилей от попыток взлома, которые фактически могут нанести автопроизводителям убытки в сотни миллионов долларов в случае атаки на обширную группу автомобилей. В Израиле существует также широкий аспекты безопасности — если кибератака выведет из строя большое количество автомобилей на главной транспортной артерии, это может нанести серьезный ущерб экономике. Что касается киберзащиты, большинство импортеров уже начали подготовку по этому вопросу в прошлом году с публикацией первоначальных рекомендаций.