איומי סייבר בציודי דיאגנוסטיקה ומערכות צי. איך למנוע חדירה לרכב המסחרי?

בעידן הטכנולוגי העכשווי רוב הרכבים החדשים מצוידים ברכיבים מתקדמים והם מחוברים למערכות דיגיטליות כמו מערכות טלמטיקה, תקשורת סלולרית, מערכות דיאגנוסטיקה ועוד. מצד אחד המערכות הללו יוצרות יעילות רבה בהתנהלות היום יומית של בקרה ופיקוח עבור מנהלי צי המכוניות, אך מצד שני יש לבחון את הסיכונים שנוצרים מהן לנושא אבטחת המידע.

שקע OBD: למה הוא יכול להיות נקודת גישה רגישה?

בכל אחד מהרכבים החדשניים הותקן על ידי היצרן שקע OBD שהוא שקע אבחון מובנה. מדובר בפתח החיבור הממוחשב שתפקידו הוא לאבחן ולזהות תקלות במחשב של רכב זה. כך כאשר יש תקלה מכנית או חשמלית אפשר לגלות באופן מהיר מהי התקלה ולטפל בה.

משרד התחבורה מציין בהמלצות שפרסם לאחרונה שלשקע זה קיים גם חיסרון כיוון שבאמצעותו יש היתכנות לפעולות סייבר ברכב מסחרי. זאת כיוון שלהתקן זה קיימת גישה לנתונים ולתקשורת שקיימים ברכב. לא כל סוגי התקני OBD מהווים סיכון כיוון שהדבר תלוי בהרשאות הקיימות, באופן החיבור למערכות החדשניות ולתכנון ההתקן.

אילו סיכונים יכולים להיווצר מהתקנים חיצוניים?

רבים מאיתנו לא מודעים לסיכונים שעלולים להיווצר מההתקנים החיצוניים כמו לדוגמה:

1. שיבוש או שינוי במידע.
2. חשיפה של המידע אשר נשלח ממערכת הטלמטיקה אל השרת החיצוני.
3. גישה של גורמים לא מורשים אשר חושפים את פרטי הנהג ואת פרטי הרכב.
4. שימוש לא מורשה בהתקן כנקודת כניסה לרשת המחשוב של הרכב.
5. חדירה של גורמים שונים אל המערכות המתוחכמות אשר מחוברות להתקן.
6. פגיעה בתפעול צי הרכבים או בזמינותן של המערכות המתקדמות.

מערכת ניטור וטלמטיקה: לא רק שקע OBD

יצרני רכב מסחרי משקיעים חשיבה וגם כספים רבים כדי שבכל רכב חדש יהיו מערכות טכנולוגיות ייחודיות שיקלו על הנסיעה ועל נושא תיקוני הרכב במידת הצורך. עם זאת ככל שיש מערכות רבות יותר, כך יש אפשרויות סיכון רבות יותר לנקודות החפיפה אשר עלולות להיות בעייתיות. זו הסיבה שיש צורך בפעולות של אבטחת סייבר ברכב.

הצמתים המסוכנים מתרחשים בנקודות שבהן נוצר שילוב של מערכות התקשורת האלקטרונית, המחשוב ומערכות המידע. החיבור ביניהן מוביל לאפשרויות סייבר אשר כוללות שליחה, איסוף ואחסון של נתונים מצטברים. זה נובע מהעובדה שברוב הרכבים יש תקשורת סלולרית, Wi-Fi, מערכות ניטור לרכב ומערכות ניווט. מנהל צי הרכב שהוא אדם מקצועי ומנוסה מביא בחשבון את היתרונות של כל המערכות החדשניות אך גם את החסרונות שלהן. ככל שיש מערכות רבות יותר בכל רכב, כך הסיכונים של חשיפת המידע הם גדולים יותר. לאור זאת מנהל זה יהיה תמיד עם היד על הדופק כדי לבדוק את החיבורים, איזה מידע מתקבל בשוטף וכיצד הוא מועבר הלאה.

האם עדיף ניטור באמצעות אפליקציה במקום התקן שמתחבר לרכב?

אנשי המקצוע מחפשים פתרונות אשר מבוססים על אפליקציה בנייד וזאת על ידי הפחתת השימוש ברכיבים פיזיים אשר מחוברים לרכב במקרים מסוימים. גם משרד התחבורה ממליץ להעדיף פתרון מבוסס אפליקציה על פני רכיב שמתחבר ישירות לרכב. המגמה היא לצמצם למינימום האפשרי את ההתממשקות הישירה למערכות הרכב ובמקום זאת לבצע ניהול פשוט יותר שיעניק מעטפת בטיחות הן למנהל צי הרכב והן לנהג. אומנם גם אפליקציות מופעלות באמצעות מעטפת המצריכה אבטחה כמו ניהול סיסמאות, הרשאות, עדכונים ויצירת הגנה על המידע אשר מועבר לענן אך זוהי אופציה עדיפה.

איך מחברים התקן לרכב בצורה מאובטחת?

מנהל צי הרכב בוחן כמה נתונים חשובים לפני בחירה ורכישה של מערכת ניטור לרכבים:

1. בדיקה לגבי זהות יצרן המערכת ומאיזו מדינה המערכת הזו מיובאת ארצה.
2. וידוא שאכן התקן זה מתאים לדגם הספציפי של הרכב ולהנחיות שהפיק יצרן הרכב.
3. חיבור המערכת בפועל כשהעדיפות היא לבצע חיבור פשוט לקריאה בלבד, ללא אפשרות כתיבה עבור מערכות הרכב.
4. לא לבצע חיבור ישיר אל CANBUS שלא בהתאם להנחיות יצרן הרכב.
5. החלפת סיסמאות ברירת המחדל כדי לנהל את הרשאות הגישה.
6. יש לוודא כי גם המערכת וגם ההתקן יקבלו עדכוני אבטחה באופן שוטף.
7. יש להגביל את הגישה הפיזית להתקן כדי לא לשבש את פעולתו.
8. יש לבצע בדיקה מעמיקה אילו נתונים נאספים ולהיכן הם מועברים באופן שוטף.
9. יש לבצע את כל הפעולות הנדרשות רק באמצעות ספק מקצועי או מתקין אשר מכיר את מערכות הרכב באופן מדוקדק.

מה מנהל צי צריך לבדוק לפני שרוכשים מערכת ניטור?

בשוק קיימות מערכות ניטור שונות וכאשר מנהל צי רכב מעוניין לרכוש מערכת מסוג זה עבור רכבי החברה, עליו לבצע בדיקה רוחבית כדי לקבל את ההחלטה הנכונה.

אלו הנקודות שיש לבדוק:

• לאילו מערכות ברכב תתחבר מערכת ניטור זו.
• האם מערך זה קורא נתונים או שיש אפשרות גם לכתוב נתונים באופן ישיר למערכות הרכב?
• מהם סוגי הנתונים אשר נאספים באמצעות מערכת זו.
• היכן נשמרים כל הנתונים המגיעים ממערכת הניטור.
• כיצד מתבצעים בפועל עדכוני האבטחה ובאיזו תדירות?
• מה קורה כאשר ההתקן נפרץ או נגנב?
• האם מערכת הניטור הזו יוצרת הפרדה בין מערכות הרכב הקריטיות לבין המערכת החדשה.
• מי מקבל סמכות לראות את נתוני צי הרכבים.

טכנולוגיה שמייעלת את הצי צריכה להיות גם מאובטחת

כולנו צועדים עם הקדמה והמערכות אשר מותקנות ברכבים המסחריים מייעלות מאד את העבודה היום יומית של כולנו. בזכות מערכות אלו מנהלי ציי הרכבים מסוגלים לקבל באופן שוטף מידע אשר משפר את הפיקוח והשליטה בכל אחד מכלי הרכב.

עם זאת יש לבדוק במקביל לכך האם קיימת אבטחת מידע של המערכות הללו וזאת כדי להתמודד עם סיכונים ולהשיג יעדים כמו לדוגמה:

• פגיעה ברצף התפקוד של ארגונים.
• פגיעה במערכות מחשוב, ברשתות מחשבים ובתקשורת השוטפת ביניהן.
• מניעת נזקים או לחלופין צמצום נזקים.
• מניעת דליפת מידע של נכסים אסטרטגיים.
• סיכול נזק כלכלי.
• מניעת נזק הקשור לעניינים משפטיים ורגולטוריים.
• אי פגיעה בביטחון הציבור.
• מניעת נזק תפעולי.
• גישה לא חוקית לרכיבים, לרשת או למערכות אשר עלולות ליצור השלכות חמורות כמו גניבת אישורים.

חשוב לזכור שלא כל התקן הוא בעייתי ולכן לפני ההתקנה יש לבדוק את יכולותיו באופן מעמיק. הבדיקה כוללת את נושא החיבורים, האבטחה, הנתונים וההרשאות. ההעדפה היא לחבר מערכות ניטור באופן פשוט ולא באמצעות ממשקים ישירים למערכות הרכב וזאת בהתאם לצביון העבודה ולסוג צי הרכב.