Het Britse Department for Transport heeft 8 basisprincipes gepubliceerd voor de beveiliging van zelfrijdende auto’s. Deze “roboticawetten” worden tijdens het ontwerpproces geïmplementeerd, maar gelden ook in de operationele fase. Het belang van deze nieuwe richtlijnen gaat volgens het artikel gepaard met de digitalisering van moderne auto’s:
“Of we auto’s nou in rijdende Wi-Fi hotspots veranderen of zo programmeren dat ze volledig autonoom zijn, het feit blijft dat auto’s steeds gevoeliger worden voor cybercriminaliteit en datalekken.” Door middel van welke basisprincipes kunnen deze risico’s geminimaliseerd worden?
1. Organisatiebeveiliging wordt beheerd, aangestuurd en bevorderd op bestuursniveau
Het eerste basisprincipe stelt bestuursleden persoonlijk verantwoordelijk voor het product en het beveiligingssysteem, en dit zorgt dus voor een organisatiebrede inzet voor de beveiliging van de auto’s. Deze verantwoordelijkheid moet op proportionele wijze gedelegeerd worden binnen de organisatie.
2. Beveiligingsrisico’s worden adequaat beoordeeld en ingeperkt.
Dit basisprincipe benadrukt het belang van risicomanagement tijdens het gehele proces van bestelling tot levering. Alle relevante risico’s moeten in kaart gebracht en geminimaliseerd worden, zodat de beveiliging van de auto waterdicht is.
3. Organisaties blijven hun producten testen en leggen verantwoording af bij incidenten
De zelfrijdende auto’s zijn volgens dit basisprincipe onderhevig aan voortdurende kwaliteitscontroles. In het geval van een incident als gevolg van een productiefout of een datalek moeten organisaties dan ook hun verantwoording afleggen.
4. Alle meewerkende organisaties, leveranciers en derde partijen leveren hun aandeel in de veiligheidsverbetering
Dit basisprincipe houdt in dat de verantwoordelijkheid niet bij één partij ligt, maar dat het verspreid is binnen de gehele supply chain. Elke betrokken partij moet dus meehelpen bij het verbeteren van de beveiliging van de auto’s.
Lees hier meer over de privacyrisico’s van zelfrijdende auto’s
5. De zelfrijdende auto’s worden ontworpen met een gelaagde beveiliging
De auto’s moeten volgens dit basisprincipe beveiligd worden door middel van diepteverdediging. Deze beveiligingsstrategie garandeert dat de beveiliging wordt opgevangen wanneer een deel van het systeem faalt.
6. De beveiliging van alle software wordt gedurende de levensloop beheerd
Volgens dit basisprincipe zijn organisaties aansprakelijk voor de beveiliging van de software gedurende de levensloop van het product. Dit betekent dat alleen de producent deze software mag beveiligen en configureren.
7. De opslag en transmissie van data wordt beveiligd en gecontroleerd
De data die door de auto’s wordt geproduceerd en verzameld moet volgens dit basisprincipe zo worden beveiligd dat het alleen toegankelijk is voor het systeem en de betrokkenen. Dit geldt natuurlijk vooral voor persoonsgevoelige data, die ook verwijderd mag worden door de betrokkenen.
8. Het systeem is ontworpen om bestand te zijn tegen aanvallen, en op gepaste wijze te reageren
De auto moet in staat zijn weerstand te bieden tegen interne en externe dreigingen zonder de primaire functionaliteit te verliezen. Dit moet natuurlijk voorkomen dat de auto midden in het verkeer uitvalt of van buitenaf bestuurd kan worden.
De basisprincipes zijn online gepubliceerd in het artikel The Key Principles of Vehicle Cyber Security for Connected and Automated Vehicles.
