Si nos centramos en ataques dirigidos a vehículos, ponemos de ejemplo un caso extremo en el que el nivel de autonomía de una gama concreta de vehículos autónomos ha sido atacado y genera un comportamiento errático en la vía. ¿A quién afectaría el incidente?

• A los ocupantes de los vehículos comprometidos.
• Al fabricante del vehículo, ya que es quien deberá desplegar las primeras medidas de respuesta.
• A las fuerzas y cuerpos de seguridad, dado que se estará poniendo en riesgo la integridad de las personas.
• Al operador de la infraestructura, porque afectará a toda la gestión viaria.

Conscientes de estos riesgos, desde la Comisión Económica de las Naciones Unidas para Europa (UNECE) se está promoviendo una regulación específica de seguridad en este ámbito, que verá su luz este año 2020.

Esta regulación consiste en dos partes:

1. CSMS (Cyber Security Management System): Los fabricantes de los vehículos deberán obtener una certificación por parte de la agencia pública confirmando que disponen de un sistema de gestión de ciberseguridad del vehículo en todas sus fases.
2. Type approval: Además de la certificación de los fabricantes se va a exigir que cada modelo concreto de vehículo se certifique en ciberseguridad y se demuestre que ha seguido todos los pasos definidos en el CSMS global del fabricante.

Aunque las compañías llevan tiempo trabajando en ello, muchas veces contratan a hackers blancos para que les descubran las fallas. La norma les obliga a crear un protocolo que garantice la protección frente a 70 amenazas de todo tipo. Desde un ataque a la nube a la que se conecta el coche, hasta el robo de datos.

Es de extrañar que ni la ONU ni la UE han fijado las medidas a tomar por los fabricantes ni las pruebas a superar para lograr el apto. Ni quién las debe llevar a cabo. Sólo que esa validación la tendrá que realizar un organismo independiente, no el fabricante por su cuenta.

La empresa española pionera en los coches ciberseguros

Eurocybcar, en esta compañía española los responsables afirman haber desarrollado un protocolo de ensayos que responde a las 70 amenazas a combatir. «No tenemos constancia, a nivel internacional, de que haya otra empresa que lo hayan conseguido» asegura José Guerreira, responsable de normativa y legislación. También señala que «nadie puede garantizar que los coches estarán 100% protegidos». Romper las actuales defensas solo es cuestión de ganas, tiempo y dinero».

Por este motivo las certificaciones duran tres años y después se deben renovar. Los primeros vehículos certificados serán un coche, un camión y un autobús fabricados en España. Violar éstas homologaciones técnicas y de consumo, referidas a la ciberseguridad, estará castigado con la misma sanción: hasta 30.000 euros por coche vendido e incluso la retirada de ese modelo del mercado.

Los objetivos son claros y orientados a la protección de la seguridad física de las personas, la privacidad de estas y la operación de la actividad de transporte por carretera.