A koppenhágai térség közlekedésszervezője, a Movia által megrendelt, az Ernst & Young (EY) által elvégzett 38 oldalas kockázatelemzés lezárta a kínai elektromos autóbuszok kiberbiztonsága körül tavaly ősszel kialakult vitát. A vizsgálat megállapította, hogy bár a hálózatba kapcsolt modern villanybuszok esetében léteznek távoli hozzáférésből és szoftverfrissítésekből eredő kockázatok, ezek nem köthetők általánosságban a kínai gyártmányokhoz.
Erős dokumentált felkészültség
A vizsgálat a Movia hálózatán közlekedő 779 darab elektromos autóbuszra terjedt ki, amelyben a Yutong, a BYD, a Golden Dragon, az MAN, az Ebusco, a Volvo, a Mercedes-Benz és a VDL típusai szerepeltek. Az EY a gyártók által benyújtott dokumentációk, típusjóváhagyási anyagok és kérdőívek alapján hat területet értékelt: a kiberbiztonsági irányítást, a kockázatelemzést, a rendszerarchitektúrát, a szoftverfrissítések kezelését, a validációt és az incidenskezelést.
Az eredmények alapján a Yutong, a BYD, a Golden Dragon és az MAN a vizsgált területek többségében magas kiberbiztonsági érettséget mutatott. A Yutong például több kategóriában, így a szoftverfrissítések kezelésében és az incidenskezelésben is kiemelkedő, 100, illetve 93 százalékos dokumentált megfelelést ért el.
A VDL-eredmények háttere
A jelentésben a VDL Citea buszok mutatták a leggyengébb dokumentált eredményeket, ám a szakértők hangsúlyozták, hogy ez nem a gyártó jelenlegi képességeit tükrözi. A vizsgált járműveket 2019-ben szállították, így azok még nem estek az ENSZ-EGB 155. és 156. számú, a kiberbiztonságra és szoftverfrissítésekre vonatkozó kötelező előírások hatálya alá. Mivel ezek a buszok nem rendelkeznek OTA (over-the-air) frissítési képességgel, a távoli támadás kockázata esetükben eleve alacsonyabb.
Szakmai ajánlások a jövőre nézve
Az EY szerint a kockázatkezelésben nem a jármű származási országa, hanem a folyamatok átláthatósága a mérvadó. A tanulmány javasolja, hogy a jövőbeni közlekedési szerződésekben a Movia követelje meg:
- az adatkapcsolatok szükség szerinti, szelektív kikapcsolhatóságát,
- a biztonságos tartalék üzemmód meglétét,
- az automatizált funkciók manuális felülbírálhatóságát,
- a töltőinfrastruktúra és a háttérrendszerek szigorú hálózati szegmentációját.
A jelentés kiemeli, hogy a modern autóbuszok szoftveralapú működése miatt a védelemnek ki kell terjednie a gyártói szerverekre, a töltőtelepekre és az utastájékoztató rendszerekre is, elkerülve ezzel a központi támadási pontokat.
Épp ami érdekel, pont amikor olvasnál… jelezd a Google felé, hogy a ÚTONonline hírei érdekesek számodra.