אבטחת סייבר לרכבים אוטונומיים
ככל שמערכות התחבורה מתחדשות והופכות לאוטונומיות, כך ניתן לפרוץ אותן יותר. תקנים בינלאומיים מארגונים כמו חברת החשמל יכולים לספק את דרישות אבטחת הסייבר המתאימות.
בינואר, על פי הדיווחים, מערכות הניווט הימיות של איטליה השולטות על כלי שיט בים התיכון טופלו. ההאקר היה תלמיד בית ספר בן 15-. למרות שנדמה ששום דבר מלבד שובבות בגיל העשרה לא היה המניע בהזדמנות זו, מומחי אבטחת סייבר היו בכוננות. המקרה מדגיש את הצורך של ארגונים בכל מקום לאבטח את מערכות התחבורה שלהם כאשר ספינות, רכבות ומכוניות הופכות לאוטונומיות יותר ויותר. כלי רכב אוטונומיים (AVs) מהווים איום מדאיג במיוחד מכיוון שהעולם היה עד למספר הולך וגדל של תקריות שבהן מעורבות משאיות וטנדרים המשמשים כנשק בפיגועים.
האתגר של כלי רכב מחוברים
עד 2030, 95% מכלי הרכב החדשים שנמכרים בעולם יהיו מחוברים, בעוד שמספר השירותים יגדל מ-192 מיליון ב-2023 ל-367 מיליון עד 2027. בשנה שעברה "תקריות גלובליות בקנה מידה מסיבי" של האקרים המכוונים לכלי רכב ושירותים מחוברים שולשו מ-5% ל-19%, לפי מומחה לאבטחת מידע.
לא רק הדיגיטציה של כמעט כל היבט של בקרת רכב ותקשורת מעלה את האיום של התקפות סייבר. זה שהאופי המקושר של מערכות תחבורה אוטונומיות יוצר משטח התקפה עצום לפושעים. כלי רכב בנהיגה עצמית-משתמשים בשירותי ענן, GPS, חיישנים, מצלמות ורשתות תקשורת כדי לתפקד. הם מחוברים למכשירי אינטרנט של דברים אחרים (IoT), מה שהופך אותם לפגיעים להתקפות סייבר ולהאקרים.
בעוד שתעשיית הרכב מתמודדת עם הנושא, גם הממשלות מודאגות. "התקפת טרור-סייבר גדולה המכוונת למערכות ההפעלה של-רכבים רבים בנהיגה עצמית בו-זמנית עלולה לגרום לנפגעים המוניים", היה התרחיש הקטסטרופלי שהציגו חברי פרלמנט בריטים לאחר חקירה משלהם על מכוניות אוטונומיות. חברי הפרלמנט הגיעו למסקנה שכלי רכב בנהיגה עצמית-מהווים סיכוני אבטחת סייבר "בגלל היכולות המחוברות ולא האוטומטיות שלהם".
קישוריות IoT היא החוליה החלשה
תעשיית הרכב הייתה מודעת במשך עשור לפחות לאופן שבו שחקן זדוני יכול לנצל מרחוק נקודות תורפה, כולל פונקציונליות IoT ורכיבים שאינם מאובטחים ברשת, כדי לפלוש לנתוני משתמשים ולשלוט בפונקציות הליבה של הרכב, כגון בלימה או האצה. לפי מאמר זה מאת חברת אבטחת סייבר, היעדים כוללים כעת מערכות מתקדמות לסיוע לנהג (ADAS), תקשורת -לכל דבר (V2X) ועדכונים דרך--האוויר (OTA).
וזה כבר קורה. פריצות לרכב שבהן הצליחו התוקפים לשלוט על כלי רכב מרחוק והצליחו לנצל את חסרונות המערכת כדי "לסכן חיים של נהגים, נוסעים או הולכי רגל" עלו באופן דרמטי בשנת 2024 והיוו למעלה מ-35% מכלל מקרי התקפות סייבר לרכב. "שחקני איומים פורסים כעת התקפות -בקנה מידה גדול ומתוחכם, מונעות בינה מלאכותית- ומכוונות לא רק לכלי רכב אלא גם לתשתית הטעינה של EV, יישומים מונעי API- ומכשירי IoT ניידים חכמים", אומרים מחברי הדו"ח. "שטח ההתקפה המתרחב הזה דורש גישה טרנספורמטיבית, פרו-אקטיבית לאבטחת סייבר." מכיוון שהתקפות על רכבים אוטונומיים מכוונים יותר ויותר לפרוטוקולי V2X ולא לרכיבים פשוטים אחרים של הרכבים, אימוץ גישה מונעת-תקנים לאבטחת סייבר לאורך כל מחזור החיים של המוצר נחשב חיוני.
עתיד רכב בטוח
מספר תקנים מבוססים מספקים את החסימות לבניית אמון בשרשרת האספקה לאורך כל מחזור חיי המוצר. סדרת התקנים IEC 62443 מגדירה דרישות ותהליכים להטמעה ותחזוקה מאובטחת אלקטרונית של מערכות אוטומציה ובקרה תעשייתית. תקנים אלה קובעים שיטות עבודה מומלצות לאבטחה ומספקים דרך להעריך את רמת ביצועי האבטחה, כולל בתחום התחבורה. הגישה לאתגר אבטחת הסייבר היא גישה הוליסטית, המגשרת על הפער בין תפעול ו-IT וכן בין בטיחות תהליכים ואבטחת סייבר.
ISO/SAE 21434 הוא התקן להנדסת אבטחת סייבר לרכב. הוא מספק מסגרת מקיפה לזיהוי, הערכה והפחתת סיכוני אבטחת סייבר בכל שרשרת האספקה. התקן מכסה את כל מחזור החיים של רכב, מהרעיון ועד להשבתה. בנוסף, ISO/SAE 21434 עומד בתקנה 155 של האו"ם (R155), המבטיחה שמערכות ניהול אבטחת סייבר (CSMS) נוקטות בגישה שיטתית לניהול סיכונים.
עמידה בתקנים כאלה הפכה להיות חובה עבור יצרנים וספקים שלהם, מה שהופך את זה חיוני לכל הצדדים המעורבים להקפיד על אמצעי אבטחת סייבר חזקים. בעוד R155 הוא חובה רק באיחוד האירופי, יפן וקוריאה, הדרישות שלו משמשות את רוב יצרני הרכב כשיטות עבודה מומלצות ברחבי העולם.
תוכנית אבטחת הסייבר התעשייתית של IECEE, מערכת הערכת ההתאמה של חברת החשמל לציוד ורכיבים אלקטרוטכניים, בודקת ומאשרת אבטחת סייבר במגזר האוטומציה התעשייתית. IECEE כוללת תוכנית המספקת הסמכה לתקנים בסדרת IEC 62443.
חוסן סייבר ימי
התקפות סייבר על חברות שילוח הפכו להיות-מקום נפוץ. על רקע ההכרה הגוברת בסיכון, מעטים בתעשייה מאמינים שהמאמצים להילחם באיומים מספיקים.
מערכות ימיות, כמו מערכות בקרת מסילה, הן לרוב מיושנות ומוגנות בצורה גרועה. ספינות ממוקדות יותר ויותר באמצעות מערכות ה-GPS שלהן, מה שיכול להשפיע על הניווט. גם מערכות הזיהוי האוטומטיות שלהם (AIS) יכולות להיפרץ ואפילו לזייף. AIS היא מערכת בטיחות חיונית המשתמשת באותות רדיו, המסייעת לכלי רכב ימיים לזהות ולעקוב אחר זה, ובכך מונעת התנגשויות. ככל שזה חיוני, הוא יכול להפוך לחוליה חלשה להתקפות סייבר.
"ספינה היא כמו מפעל צף", מתאר ספק מידע ימי אחד. "יש המון מערכות שמדברות ביניהן, והן לא מוגנות. בדרך כלל אין הצפנה או אימות. קל לפרוץ למערכות בודדות. זה בדיוק כמו לפרוץ לטסלה, אלא שהיא הרבה יותר גדולה".
חברת החשמל פרסמה תקנים בינלאומיים המפרטים אמצעי אבטחת סייבר לאניות. אחת הוועדות הטכניות שלה, IEC TC 80, לקחה על עצמה את התפקיד של פיתוח סטנדרטים בינלאומיים ל-Global Maritime Distress and Safety System (GMDSS), מערכת מוסכמת בינלאומית של נהלי בטיחות ופרוטוקולי תקשורת המשמשים להגברת הבטיחות ולהקל על חילוץ ספינות במצוקה. IEC TC 80 מנפיק את IEC 63154, המפרט דרישות לתקנים כדי לספק רמה בסיסית של הגנה מפני אירועי סייבר (כלומר ניסיונות זדוניים, שגורמים למעשה או פוטנציאליים להשלכות שליליות על הציוד, הרשתות שלהם או המידע שהם מעבדים, מאחסנים או מעבירים).
האקרים ופושעי סייבר הופכים מתוחכמים יותר ומשתמשים בטכנולוגיות דיגיטליות חדשות כדי לגשת לנתונים ולהשתלט על מערכות תחבורה. אבל כלים, כמו תקנים בינלאומיים, נמצאים שם כדי להגן על תעשיות התחבורה בזמן שהם משקיעים במודרניזציה. על ידי ביצוע השלבים המתוארים בתקנים, ניתן למנוע חלק ניכר מהסיכונים.