Najważniejszy wniosek

Ryzyko nie wynika z samego kraju pochodzenia producenta ani z etykiety pojazdu. Powstaje wtedy, gdy operator nie ma pełnej wiedzy o przepływie danych, zdalnym dostępie, aktualizacjach, uprawnieniach serwisowych i możliwościach odtworzenia działania floty. Te elementy można i należy zweryfikować technicznie oraz kontraktowo.

Dlaczego autobus jest systemem cyberfizycznym

Współczesny autobus elektryczny łączy sieć wewnętrzną pojazdu, sterowniki, magistralę CAN, system informacji pasażerskiej, monitoring, urządzenia płatnicze, lokalizację GPS, modem komórkowy, Wi-Fi, diagnostykę oraz mechanizmy aktualizacji. Część z tych komponentów wpływa wyłącznie na komfort lub raportowanie, ale inne mogą oddziaływać na dostępność pojazdu i bezpieczeństwo operacyjne.

Z tego powodu pierwszym zadaniem nie jest publiczne stawianie tezy o istniejącej podatności. Potrzebna jest mapa architektury i zależności: jakie moduły komunikują się ze sobą, które połączenia wychodzą poza sieć operatora, kto ma poświadczenia serwisowe, gdzie trafiają logi i dane telemetryczne oraz czy operator może bezpiecznie pracować po odcięciu usługi zewnętrznej.

Pięć obszarów wymagających audytu

  1. Przepływ danych. Należy ustalić odbiorców telemetrii, lokalizację przetwarzania, zakres danych, retencję oraz podstawę prawną. Deklaracja dostawcy nie zastępuje obserwacji ruchu sieciowego i weryfikacji konfiguracji.
  2. Zdalny dostęp i serwis. Trzeba zidentyfikować wszystkie kanały administracyjne, konta, certyfikaty, mechanizmy uwierzytelniania, możliwość blokowania dostępu oraz pełny rejestr wykonanych operacji.
  3. Aktualizacje OTA i oprogramowanie. Aktualizacja powinna być podpisana, weryfikowana, kontrolowana przez operatora i możliwa do wycofania. Proces musi obejmować podatności komponentów oraz terminy dostarczania poprawek.
  4. Separacja domen. Systemy pasażerskie, monitoring, telematyka i funkcje związane ze sterowaniem nie powinny tworzyć niekontrolowanej płaskiej sieci. Każde przejście między domenami wymaga uzasadnienia i monitorowania.
  5. Ciągłość działania. Operator powinien znać skutki utraty chmury, łączności, certyfikatu lub wsparcia producenta. Potrzebny jest tryb bezpiecznej degradacji, procedura awaryjna i sprawdzony sposób odtworzenia.

Prywatność pasażerów i dane operacyjne

Monitoring, systemy biletowe, lokalizacja i telemetria mogą tworzyć zbiory o różnym charakterze. Nie każda dana techniczna jest daną osobową, ale połączenie czasu, trasy, obrazu i identyfikatora może zwiększać ryzyko identyfikacji. Operator powinien znać role administratora i podmiotów przetwarzających, ograniczać zakres danych, kontrolować dostęp oraz potrafić wykazać zgodność przepływu z przyjętą dokumentacją.

Osobną kategorią są informacje operacyjne o ruchu floty, awariach i zależnościach miasta. Nawet jeżeli nie identyfikują pasażera, mogą mieć znaczenie dla odporności transportu i planowania działań zakłócających. Klasyfikacja informacji powinna więc uwzględniać zarówno RODO, jak i ciągłość oraz bezpieczeństwo infrastruktury.

Bezpieczeństwo powinno zaczynać się w zamówieniu

Największą przewagę daje wpisanie wymagań przed zakupem. Dokumentacja powinna określać własność i lokalizację danych, zakaz nieautoryzowanych połączeń, sposób zatwierdzania aktualizacji, dostęp do logów, obsługę podatności, czasy reakcji, prawo do audytu, wymagania dla podwykonawców oraz plan wyjścia z usługi.

Wymóg ogólnej zgodności z prawem jest niewystarczający. Kryterium musi być odbieralne, na przykład przez listę przepływów sieciowych, raport z testów, wykaz komponentów, podpisane pakiety aktualizacji, demonstrację odcięcia dostępu serwisowego i scenariusz pracy po utracie systemu producenta.

Plan działań dla operatora floty

  • 0-30 dni: inwentaryzacja pojazdów, modułów komunikacyjnych, umów, kont serwisowych i znanych połączeń zewnętrznych;
  • 30-60 dni: obserwacja ruchu, przegląd architektury, segmentacji, uprawnień, aktualizacji, logów i przetwarzania danych;
  • 60-90 dni: testy uzgodnione z producentem, zamknięcie niepotrzebnych kanałów, poprawa monitorowania i ćwiczenie utraty usług zewnętrznych;
  • strategicznie: standard cyberbezpieczeństwa dla całej floty, wspólne wymagania zakupowe, rejestr dostawców i cykliczna walidacja.

Co wynika z publikacji Życia Warszawy

Materiał redakcyjny zwrócił uwagę na telematykę, możliwość zdalnych operacji, aktualizacje OTA, dane pasażerów, magistralę CAN, ryzyko łańcucha dostaw oraz potrzebę lokalnej kontroli nad systemem zarządzania flotą. Własna analiza MSecure rozwija te zagadnienia w formie programu weryfikacji, który może zakończyć się dowodem technicznym, rejestrem ryzyk i wymaganiami do umowy.

Nie należy automatycznie uznawać każdego egzemplarza za podatny ani każdego połączenia zewnętrznego za incydent. Odpowiedzialna ocena oddziela możliwość techniczną od potwierdzonego stanu i prowadzi do testów wykonywanych w uzgodnionym, bezpiecznym zakresie.

Źródło

Nota: strona stanowi autorskie omówienie ryzyka i metodyki oceny. Nie jest kopią artykułu prasowego ani potwierdzeniem wystąpienia konkretnej podatności.