Otonom araçlar için siber güvenlik
Ulaşım sistemleri ne kadar modernleşir ve otonom hale gelirse, o kadar çok saldırıya uğrayabilirler. IEC gibi kuruluşların uluslararası standartları uygun siber güvenlik gereksinimlerini sağlayabilir.
Ocak ayında, İtalya'nın Akdeniz'deki gemileri yöneten deniz navigasyon sistemlerinin manipüle edildiği bildirildi. Bilgisayar korsanı 15-yaşında bir okul çocuğuydu. Bu olayın motivasyonu gençlerin yaramazlıklarından başka bir şey gibi görünmese de siber güvenlik uzmanları tetikteydi. Vaka, gemiler, trenler ve otomobiller giderek daha özerk hale geldikçe, dünyanın her yerindeki kuruluşların ulaşım sistemlerini güvence altına alma ihtiyacının altını çiziyor. Dünyanın terör saldırılarında silah olarak kullanılan kamyon ve kamyonetlerin dahil olduğu artan sayıda olaya tanık olması nedeniyle, otonom araçlar (AV'ler) özellikle endişe verici bir tehdit oluşturuyor.
Bağlantılı araçların zorluğu
2030 yılına gelindiğinde dünya çapında satılan yeni araçların %95'i bağlantılı olacak ve hizmetteki sayı 2023'teki 192 milyondan 2027'ye kadar 367 milyona çıkacak. Bir veri güvenliği uzmanına göre, geçen yıl bilgisayar korsanlarının bağlantılı araçları ve hizmetleri hedef aldığı "büyük-ölçekli küresel olaylar" üç katına çıkarak %5'ten %19'a çıktı.
Siber saldırı tehdidini artıran şey yalnızca araç kontrolü ve iletişimin hemen hemen her yönünün dijitalleştirilmesi değildir. Otonom ulaşım sistemlerinin birbirine bağlı doğası, suçlular için geniş bir saldırı yüzeyi yaratıyor. Kendi kendine giden araçlar-çalışmak için bulut hizmetlerini, GPS'i, sensörleri, kameraları ve iletişim ağlarını kullanır. Diğer Nesnelerin İnterneti (IoT) cihazlarına bağlı olmaları, onları siber saldırılara ve bilgisayar korsanlarına karşı savunmasız hale getiriyor.
Otomotiv endüstrisi bu sorunla uğraşırken hükümetler de endişeli. Britanyalı milletvekillerinin otonom arabalarla ilgili kendi araştırmalarının ardından sunduğu felaket senaryosu, "Çok sayıda otonom aracın işletim sistemini aynı anda hedef alan-büyük bir siber{2}terörist saldırısı toplu ölümlere neden olabilir." Milletvekilleri, kendi kendine giden araçların-otomatik yetenekler yerine bağlantılı olmaları nedeniyle siber güvenlik riskleri oluşturduğu sonucuna vardı.
IoT bağlantısı zayıf halkadır
Otomotiv endüstrisi, kötü niyetli bir aktörün, IoT işlevleri ve siber güvenli olmayan bileşenler de dahil olmak üzere güvenlik açıklarından nasıl uzaktan yararlanarak kullanıcı verilerini istila edebileceğinin ve bir aracın frenleme veya hızlanma gibi temel işlevlerini kontrol edebileceğinin en az on yıldır farkındaydı. Bir siber güvenlik şirketi tarafından hazırlanan bu makaleye göre, hedefler artık gelişmiş sürücü destek sistemlerini (ADAS), araçtan-her şeye-iletişimi (V2X) ve-kablosuz-havadan (OTA) güncellemeleri içeriyor.
Ve bu zaten oluyor. Saldırganların araçları uzaktan kontrol etmeyi başardıkları ve sistemin eksikliklerinden yararlanarak "sürücülerin, yolcuların veya yayaların hayatını tehlikeye attıkları" otomotiv saldırıları, 2024'te çarpıcı biçimde arttı ve tüm otomotiv siber saldırı vakalarının %35'inden fazlasını oluşturdu. Raporun yazarları, "Tehdit aktörleri artık yalnızca araçları değil, EV şarj altyapısını, API-güdümlü uygulamaları ve akıllı mobilite IoT cihazlarını da hedef alan büyük-ölçekli, gelişmiş, yapay zeka- destekli saldırılar gerçekleştiriyor" diyor. "Genişleyen bu saldırı yüzeyi, siber güvenliğe dönüştürücü,{8}}proaktif bir yaklaşım gerektiriyor." Otonom araçlara yönelik saldırılar, araçların diğer basit öğeleri yerine V2X protokollerini giderek daha fazla hedef aldığından, tüm ürün yaşam döngüsü boyunca siber güvenliğe yönelik standartlara dayalı bir yaklaşımın benimsenmesi hayati önem taşıyor.
Güvenli bir otomotiv geleceği
Yerleşik birçok standart, tüm ürün yaşam döngüsü boyunca tedarik zinciri güveni oluşturmaya yönelik bloklar sağlar. IEC 62443 standart serisi, elektronik olarak güvenli endüstriyel otomasyon ve kontrol sistemlerinin uygulanması ve sürdürülmesine yönelik gereksinimleri ve süreçleri tanımlar. Bu standartlar güvenlik için en iyi uygulamaları belirler ve ulaşım da dahil olmak üzere güvenlik performansı düzeyini değerlendirmenin bir yolunu sağlar. Siber güvenlik sorununa yönelik yaklaşım, operasyonlar ile BT arasındaki ve aynı zamanda süreç güvenliği ile siber güvenlik arasındaki boşluğu kapatan bütünsel bir yaklaşımdır.
ISO/SAE 21434, otomotiv siber güvenlik mühendisliği standardıdır. Tedarik zinciri genelinde siber güvenlik risklerini tanımlamak, değerlendirmek ve azaltmak için kapsamlı bir çerçeve sağlar. Standart, bir aracın konsept aşamasından hizmet dışı bırakılmasına kadar tüm yaşam döngüsünü kapsar. Ayrıca ISO/SAE 21434, siber güvenlik yönetim sistemlerinin (CSMS) risk yönetimine sistematik bir yaklaşım benimsemesini sağlayan BM Düzenlemesi 155'i (R155) karşılar.
Bu tür standartlara uyum, üreticiler ve tedarikçileri için zorunlu hale geldi ve ilgili tüm tarafların sağlam siber güvenlik önlemlerine sahip olması hayati önem taşıyor. R155 yalnızca AB, Japonya ve Kore'de zorunlu olmakla birlikte, gereksinimleri dünya çapında çoğu otomobil üreticisi tarafından en iyi uygulama olarak kullanılmaktadır.
IECEE'nin endüstriyel siber güvenlik programı, Elektroteknik Ekipman ve Bileşenler için IEC Uygunluk Değerlendirme Şemaları Sistemi, endüstriyel otomasyon sektöründe siber güvenliği test eder ve sertifikalandırır. IECEE, IEC 62443 serisindeki standartlara sertifikasyon sağlayan bir program içerir.
Denizcilik siber dayanıklılığı
Nakliye şirketlerine yönelik siber saldırılar-sıradan hale geldi. Riskin giderek daha fazla kabul edildiği bir ortamda, sektördeki çok az kişi tehditlerle mücadele çabalarının yeterli olduğuna inanıyor.
Demiryolu kontrol sistemleri gibi denizcilik sistemleri de genellikle güncelliğini kaybetmiş ve yeterince korunmuyor. Gemiler, navigasyonu etkileyebilecek GPS sistemleri aracılığıyla giderek daha fazla hedef alınıyor. Otomatik tanımlama sistemleri (AIS) de saldırıya uğrayabilir ve hatta sahtekarlık yapılabilir. AIS, radyo sinyallerini kullanan, deniz araçlarının birbirlerini tanımlamasına ve takip etmesine yardımcı olan ve böylece çarpışmaları önleyen önemli bir güvenlik sistemidir. Ne kadar önemli olsa da siber saldırılar için zayıf bir halka haline gelebilir.
Bir denizcilik bilgi sağlayıcısı "Gemi yüzen bir fabrika gibidir" diye tanımlıyor. "Birbirleriyle konuşan çok sayıda sistem var ve bunlar korunmuyor. Genellikle şifreleme veya kimlik doğrulama yoktur. Tek tek sistemleri hacklemek kolaydır. Tıpkı bir Tesla'yı hacklemek gibidir, ancak çok daha büyüktür."
IEC, gemilere yönelik siber güvenlik önlemlerini belirleyen uluslararası standartlar yayınladı. Teknik komitelerinden biri olan IEC TC 80, güvenliği artırmak ve tehlike altındaki gemilerin kurtarılmasını kolaylaştırmak için kullanılan uluslararası kabul görmüş güvenlik prosedürleri ve iletişim protokolleri dizisi olan Küresel Denizcilik Tehlike ve Güvenlik Sistemi (GMDSS) için uluslararası standartların geliştirilmesi rolünü üstlenmiştir. IEC TC 80, siber olaylara (yani ekipmana, ağlarına veya işlediği, sakladığı veya ilettiği bilgilere yönelik fiilen veya potansiyel olarak olumsuz sonuçlara yol açan kötü niyetli girişimler) karşı temel düzeyde koruma sağlamaya yönelik standartların gerekliliklerini belirleyen IEC 63154'ü yayınlar.
Bilgisayar korsanları ve siber suçlular giderek daha karmaşık hale geliyor ve verilere erişmek ve ulaşım sistemlerinin kontrolünü ele geçirmek için yeni dijital teknolojileri kullanıyor. Ancak uluslararası standartlar gibi araçlar, modernleşmeye yatırım yapan ulaştırma endüstrilerini korumak için mevcuttur. Standartlarda açıklanan adımları takip ederek risklerin çoğundan kaçınılabilir.