L'industria automobilistica
Proprio negli ultimi anni, la tecnologia presente nelle nostre automobili e nei nostri autocarri è migliorata notevolmente. Funzionalità quali l’avviso di collisione frontale e la frenata automatica di emergenza, rese possibili dai progressi nel campo dei sensori e dell’analisi dei dati in tempo reale, hanno reso i nostri veicoli e noi stessi più sicuri.
I veicoli autonomi, già in uso in alcune città, hanno il potenziale di migliorare ulteriormente la sicurezza dei conducenti, riducendo il rischio di errore umano. Tuttavia, queste nuove tecnologie comportano nuovi rischi, che dobbiamo assicurarci di tenere in debita considerazione e ridurre al minimo durante la produzione dei veicoli.
Linee guida sulla sicurezza informatica per i veicoli
Recentemente, il Dipartimento dei Trasporti degli Stati Uniti (DOT) ha compiuto un primo passo significativo verso la gestione di questi nuovi rischi, pubblicando una bozza di linee guida sulla sicurezza informatica (si apre in una nuova scheda) per i veicoli. Tra queste figurano una serie di prassi raccomandate, quali la limitazione della possibilità di modificare il firmware dei veicoli e la segmentazione dei sistemi di controllo, che dovrebbero diventare la norma per i costruttori automobilistici. Tuttavia, sebbene tali linee guida costituiscano una solida base, poiché sono di natura volontaria, i consumatori non hanno ancora modo di sapere con quale grado di serietà un produttore le abbia rispettate, ammesso che le abbia rispettate.
Il governo dovrebbe garantire ai consumatori tale trasparenza, proprio come ha imposto alle case automobilistiche di rendere pubbliche altre caratteristiche relative alla sicurezza, quali i risultati dei crash test. Poiché sono in gioco delle vite umane, la sicurezza informatica non può essere considerata separatamente dalla sicurezza fisica.
Il DOT può affrontare la questione creando un'etichetta di sicurezza per i veicoli — simile alle classificazioni MPG richieste dall'EPA — che riporti i risultati di una valutazione completa della sicurezza. Le linee guida raccomandano un test analogo, ma, anche in questo caso senza richiedere la divulgazione dei risultati, i consumatori non hanno modo di sapere quanto sia realmente sicuro – o meno – il proprio veicolo. Tali valutazioni dovrebbero essere obbligatorie e dovrebbero essere condotte da un ente terzo certificato dal governo, che esamini l’architettura complessiva del veicolo, i componenti critici presenti nel codice sottostante, i protocolli di comunicazione personalizzati e la capacità del veicolo di reagire ad attacchi attivi o passivi ai sensori.
Definizione di criteri specifici per le valutazioni
Al fine di definire i criteri specifici per tali valutazioni, il DOT dovrebbe convocare un gruppo di lavoro composto da costruttori automobilistici ed esperti di sicurezza informatica. Tale gruppo potrà decidere chi debba certificare i fornitori come idonei a svolgere tali valutazioni, nonché quando e quali informazioni risulteranno più utili per i consumatori.
Avendo aiutato numerosi clienti a conformarsi alle normative in materia di sicurezza informatica, tra cui grandi case automobilistiche statunitensi, sono particolarmente consapevole dell’onere normativo e so che una regolamentazione eccessiva o inadeguata può distogliere l’attenzione dalla sicurezza, anziché rafforzarla. Richiedere una valutazione della sicurezza non costituisce un onere eccessivo. Non impone ai costruttori una metodologia specifica per garantire la sicurezza dei propri veicoli né prevede requisiti onerosi; offre invece ai consumatori la trasparenza di cui hanno diritto per comprendere il livello di sicurezza del proprio veicolo.
Il DOT ha emanato per la prima volta le Norme federali di sicurezza dei veicoli a motore nel 1967 per garantire che «il pubblico sia tutelato da rischi irragionevoli di incidenti derivanti dalla progettazione, dalla costruzione o dalle prestazioni dei veicoli a motore e sia inoltre tutelato da rischi irragionevoli di morte o lesioni nel caso in cui tali incidenti dovessero verificarsi».
Conclusione
La sicurezza informatica dovrebbe, a lungo termine, rientrare in questo stesso ambito, alla pari delle cinture di sicurezza e degli airbag. Ma per il momento, il governo dovrebbe compiere questo passo intermedio e a breve termine, fornendo ai consumatori le informazioni accurate e verificate di cui hanno bisogno per prendere decisioni consapevoli. Si tratta di una delle misure più efficaci che possano adottare per migliorare la sicurezza dei veicoli in generale, pur avendo un impatto relativamente minimo sui profitti dei costruttori.
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.
