El sector del automóvil
En los últimos años, la tecnología de nuestros coches y camiones ha mejorado considerablemente. Funciones como la alerta de colisión frontal y el frenado automático de emergencia, que han sido posibles gracias a los avances en sensores y al análisis de datos en tiempo real, han aumentado la seguridad tanto de nuestros vehículos como nuestra propia seguridad.
Los vehículos autónomos, que ya se utilizan en algunas ciudades, tienen el potencial de mejorar aún más la seguridad de los conductores, al reducir el riesgo de error humano. Sin embargo, estas nuevas tecnologías traen consigo nuevos riesgos, que debemos asegurarnos de tener en cuenta y minimizar durante la fabricación de los vehículos.
Directrices de ciberseguridad para vehículos
Recientemente, el Departamento de Transporte de los Estados Unidos (DOT) ha dado un primer paso significativo para hacer frente a estos nuevos riesgos al publicar un borrador de directrices de ciberseguridad (se abre en una nueva pestaña) para vehículos. Entre ellas se incluyen una serie de prácticas recomendadas, como limitar la posibilidad de modificar el firmware de los vehículos y segmentar los sistemas de control, que deberían convertirse en norma para los fabricantes de vehículos. Sin embargo, aunque estas directrices constituyen una base sólida, al ser de carácter voluntario, los consumidores siguen sin tener forma de saber en qué medida un fabricante las ha cumplido, si es que lo ha hecho.
El Gobierno debería ofrecer esta transparencia a los consumidores, del mismo modo que ha exigido a los fabricantes de automóviles que hagan públicas otras características de seguridad, como las calificaciones de las pruebas de choque. Dado que están en juego vidas humanas, la ciberseguridad no puede considerarse al margen de la seguridad física.
El Departamento de Transporte (DOT) puede abordar esta cuestión creando una etiqueta de seguridad para los vehículos —similar a las clasificaciones de consumo de combustible (MPG) exigidas por la EPA— en la que se muestren los resultados de una evaluación de seguridad exhaustiva. Las directrices recomiendan una prueba similar, pero, una vez más, al no exigirse la divulgación de sus resultados, los consumidores no tienen forma de saber hasta qué punto su vehículo es realmente seguro —o no—. Estas evaluaciones deberían ser obligatorias y deberían ser realizadas por un organismo independiente certificado por el Gobierno, que examine la arquitectura general del vehículo, los componentes críticos del código subyacente, los protocolos de comunicación personalizados y la capacidad de respuesta del vehículo ante ataques activos o pasivos contra los sensores.
Establecimiento de criterios específicos para las evaluaciones
Para establecer los criterios específicos de estas evaluaciones, el Departamento de Transporte debería convocar a un grupo de trabajo integrado por fabricantes de automóviles y expertos en ciberseguridad. Este grupo puede decidir quién debe certificar a los proveedores como aptos para llevar a cabo estas evaluaciones, cuándo y qué información resultará más útil para los consumidores.
Tras haber ayudado a numerosos clientes a cumplir con la normativa en materia de ciberseguridad, entre ellos grandes fabricantes de vehículos estadounidenses, soy especialmente consciente de la carga normativa y sé que un exceso de normativa o una normativa inadecuada puede restar eficacia a la seguridad, en lugar de reforzarla. Exigir una evaluación de seguridad no supone una carga excesiva. No establece la metodología que deben utilizar los fabricantes para garantizar la seguridad de sus vehículos ni impone requisitos costosos; sí que ofrece a los consumidores la transparencia que merecen para comprender el nivel de seguridad de su vehículo.
El Departamento de Transporte (DOT) publicó por primera vez las Normas Federales de Seguridad de los Vehículos de Motor en 1967 con el fin de garantizar que «el público esté protegido frente a riesgos irrazonables de que se produzcan accidentes como consecuencia del diseño, la fabricación o el funcionamiento de los vehículos de motor, y que también esté protegido frente a riesgos irrazonables de muerte o lesiones en caso de que se produzcan dichos accidentes».
Conclusión
La ciberseguridad debería acabar encuadrándose en este mismo ámbito, en pie de igualdad con los cinturones de seguridad y los airbags. No obstante, por el momento, el Gobierno debería dar este paso intermedio a corto plazo, que consiste en proporcionar a los consumidores la información precisa y contrastada que necesitan para tomar decisiones con conocimiento de causa. Se trata de una de las medidas más eficaces que pueden adoptar para mejorar la seguridad de los vehículos en general, al tiempo que tiene un impacto relativamente mínimo en los resultados económicos de los fabricantes.
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
