网络安全成为汽车行业的首要任务

Posted 2022-01-05 宛如清风

 

它们是快速移动、高度连接的数据中心。它们实际上是在大规模云基础架构边缘运行的移动节点。他们将越来越多地成为网络攻击者的目标。

在过去十年中，汽车制造商开始稳步转向电动汽车，同时该行业也推出了新的移动出行举措，例如拼车，汽车共享以及对传统所有权模式的改变。通过对计算机系统的无线（OTA）更新定期提供新功能，即可改善驾驶体验或解决问题，而无需召回车辆。遍布车辆的物联网设备收集、传输和接收信息。自动驾驶汽车、出租车车队（Uber、Lyft、Waymo）和卡车运输业务都在下一个弯道附近。所有这些都增加了车辆网络安全的紧迫性。

2020 年6 月，联合国法规 （UNR） 155为其 WP.29 国家/地区（包括欧盟、英国、日本和韩国）的成员制定了网络安全要求。虽然美国、加拿大和中国不是成员国，但进入这些市场必须遵守UNR 155。

结合ISO/SAE 21434等其他网络安全要求以及网络攻击的真正威胁，网络安全将在汽车制造商的优先事项中超越功能安全，或者至少获得与之同等的地位。因此，汽车公司需要意识到几个重要因素。

网络攻击对目标来说已经非常昂贵，也变得越来越危险。例如，如果切断医院、疗养院或其他护理设施的电力供应，对能源部门的攻击可能会危及生命。虽然五月份，Colonial Pipeline攻击并没有完全上升到这个水平，但它证明了通过破坏单个密码实现的成功攻击可以产生多么深远的影响。

对于汽车行业来说，在拥挤的道路上高速行驶的本质放大了这些风险。车辆黑客攻击已经比许多人想象的更常见，可能很快就会变得更加普遍，并有可能大规模发生危及生命的事件。

这种黑客攻击的经济影响也将是相当大的，这为汽车公司专注于确保网络安全增添了另一个原因。建立信任对任何企业都至关重要，在运输中更是至关重要。例如，波音公司737 Max客机的持续问题，在两次因软件故障导致的坠机事故后，在2019年和2020年停飞了20个月，就清楚地说明了这一点。

汽车行业的网络安全工作应集中在五个关键领域。

1.零日漏洞利用车辆中暴露的端口数量使其容易受到攻击。除了防止已知的漏洞外，安全团队还应该了解新的发展和攻击媒介，也许可以通过与供应商无关的零日计划等努力来进行。

2.注意供应链攻击，汽车公司需要通过保护软件开发生命周期（SDLC）和更新传输来避免通过OTA更新引入漏洞。

3.共享出行乘车和汽车共享应用的兴起，以及租赁和公司拼车等扩展的传统方法，产生了行业需要解决的用户身份和访问权限问题。

4.连接性安全，通信通道需要对云环境的可见性，传输和数据的加密，持续监控以及人工智能等技术的应用，要避免窥探和篡改。

5.隐私保护车辆所需的程序必然会涉及隐私问题，因此安全、加密的数据存储至关重要。

将安全性放在首位。随着车辆的互联程度越来越高，自动驾驶功能也越来越普遍，网络安全可能会成为车辆安全最关键的要素，这一领域会受到严格监管。

联合国法规（UNR）155和ISO/SAE 21434为车辆生命周期（包括其设计和开发）纳入网络安全管理系统（CSMS）提供了框架，但汽车公司必须根据这些要求实施最有效的安全措施。与任何其他行业的网络安全一样，风险管理是关键。

在重要的关注领域中，汽车公司应该将access模型构建到车辆的设计中，而不是将它们作为事后的想法添加。公司需要能够通过识别与车辆交互的各种角色来管理共享移动模型、远程访问、维护访问等。

他们还必须实现可扩展的身份仓库，以存储与车辆相关的所有身份信息，以及相关车辆和使用情况的历史记录。这对于安全性和合规性都是必须的。

与此同时，他们需要在信息共享与隐私保护之间取得平衡。汽车公司将与之互动的生态系统——例如租车公司，保险提供商，供应链或技术公司——查看车辆的数据。我们需要关于哪些信息可以共享的护栏，并获得个人的必要同意，以遵守GDPR和CCPA / CPRA等法规。

汽车行业对软件和连接的依赖在未来几年只会变得更加明显。在新车辆和系统的各个方面建立有效的网络安全对于确保汽车行业未来的成功至关重要。（本文出自SCA安全通信联盟，转载请注明出处。）