Một báo cáo mới nêu bật những rủi ro tiềm ẩn về an ninh mạng với xe điện, xe tự lái

Khi ngày càng các nhiều phương tiện chạy bằng điện, tự lái và được kết nối xuất hiện trên các con đường trên toàn cầu trong những năm tới, một báo cáo mới của Deloitte Canada nêu chi tiết những rủi ro an ninh mạng có thể xuất hiện đối với người lái xe Canada.

Báo cáo này vạch ra lộ trình cách thức phát triển và thực hiện các biện pháp an ninh mạng nên được áp dụng cho các công nghệ giao thông tiên tiến ngày càng có khả năng lưu trữ thông tin cá nhân về người lái xe và hành khách, cũng như viễn cảnh bị kiểm soát và truy cập bằng các thiết bị từ xa.

Stephen Meagher, giám đốc an ninh mạng và IOT, đồng thời là cố vấn rủi ro tại Deloitte, cho biết trong một cuộc phỏng vấn qua điện thoại với CTVNews.ca hôm thứ Tư tuần trước: “Các phương tiện hiện đại là những siêu máy tính trên bốn bánh xe.”

Ông giải thích: “Có hàng trăm, nếu không muốn nói là hàng nghìn nhà phát triển của các nhà sản xuất linh kiện - từ các nhà sản xuất chip nhỏ và phát triển firmware để điều khiển các thiết bị và ứng dụng di động có thể kết nối với xe cộ.”

Meagher nói rằng công nghệ đa diện cuối cùng làm tăng thứ được gọi là “diện tích bề mặt tấn công.” Đây được mô tả là các lỗ hổng có hệ thống hoặc lỗ hổng bảo mật mạng làm tăng khả năng thiết bị bị xâm nhập.”

Ví dụ, “các phương tiện hiện nay có các ứng dụng di động - cho dù đó là để điều khiển và truy cập trực tiếp vào phương tiện hay điều khiển một số phương tiện,” ông nói.

Ông giải thích, việc truy cập di động này có thể gây ra những rủi ro vượt xa việc vi phạm quyền riêng tư dữ liệu.

Báo cáo xác định một sự cố năm ngoái khi 25 phương tiện tự lái thuộc sở hữu của một công ty vận tải bị tấn công và truy nhập từ xa.

Báo cáo giải thích: “Tin tặc tuổi teen này có thể xác định vị trí chính xác của từng chiếc xe, cho dù phương tiện đó có bị tài xế đang điều khiển hay không và quan trọng nhất là chạy lệnh trên đó từ xa”.

Các rủi ro mạng khác mà báo cáo của Deloitte xác định bao gồm theo dấu và theo dõi GPS, phần mềm độc hại, cũng như kiểm soát gia tốc và phanh của phương tiện.

Với những tiến bộ vượt bậc trong công nghệ vận chuyển tự lái, báo cáo cảnh báo rằng tin tặc có thể trở nên có khả năng điều khiển ô tô từ xa hơn.

Theo báo cáo, vào năm 2021, 84% các cuộc tấn công mạng vào các phương tiện được thực hiện từ xa. Hơn 50% các sự cố ô tô liên quan đến an ninh mạng “từng được báo cáo” đã xảy ra trong hai năm qua, theo nghiên cứu của công ty.

Báo cáo của Deloitte cũng cho biết rằng “sự gia tăng các sự cố mạng ô tô được dự đoán sẽ tiếp tục gia tăng”.

Lý do được trích dẫn cho sự phát triển này là sự hợp nhất ngày càng tăng của các thành phần phần cứng và phần mềm. "Trong nhiều trường hợp, trách nhiệm có thể thuộc về nhiều bên liên quan trong chuỗi cung ứng ô tô," báo cáo viết.

Meagher gợi ý rằng cần có trách nhiệm chung của tất cả các nhà sản xuất linh kiện để giảm thiểu rủi ro an ninh mạng.

“Cách tiếp cận của chúng tôi đối với vấn đề này là, cho dù bạn là chủ sở hữu đội xe, nhà sản xuất hay chính phủ [xác định] quy định về quyền riêng tư dữ liệu ở một quốc gia, tất cả các bên đó đều có trách nhiệm đảm bảo rằng, về tổng thể, chúng tôi có một lập trường an ninh mạng tốt để khiến thị trường này phát triển, Meagher nói.

Meagher nói rằng các nhà sản xuất phương tiện, chủ sở hữu đội xe và các khu vực pháp lý của thành phố cần bắt đầu xem xét cách thức họ có thể đảm bảo tốt hơn sự an toàn cho người lái xe - cụ thể là bằng cách hiểu rõ hơn về từng bộ phận riêng lẻ tạo nên một chiếc xe và đánh giá chung rủi ro mà mỗi bộ phận mang lại.

Ông nói: “Bởi vì chúng vốn dĩ không phải là một phần của hướng dẫn thông thường cho chuỗi cung ứng ô tô, nên đã có một số thiếu sót trong việc bảo mật và phát triển các ứng dụng đó. Chúng ta cần đảm bảo rằng nhiều bộ phần của một chiếc xe được an toàn với nhau."

Helene Deschamps Marquis, đối tác và lãnh đạo quốc gia về quyền riêng tư dữ liệu và an ninh mạng tại Deloitte Legal Canada, cho biết một số “trách nhiệm chung” này cuối cùng có thể rơi vào luật an ninh mạng. Tuy nhiên, không có luật nào về tính chất này hiện đang áp dụng cho các phương tiện tự động.

Bà nói, một số biện pháp phòng ngừa có thể dẫn đầu.

Marquis, người chuyên về vi phạm an ninh mạng và luật tuân thủ quyền riêng tư, đã nói chuyện với CTVNews.ca trong một cuộc phỏng vấn qua điện thoại hôm thứ Tư tuần trước về triết lý được gọi là “Quyền riêng tư theo thiết kế” - một cách tiếp cận luật công nghệ nhằm thúc đẩy việc nhúng thiết kế quyền riêng tư và các biện pháp an ninh mạng trong kiến trúc của hệ thống CNTT và thực tiễn kinh doanh. Cách tiếp cận khác với việc thêm các tùy chọn đồng ý không rõ ràng mà người dùng có thể dễ dàng bỏ qua.

Vào tháng 6 năm nay, Đạo luật thực thi Hiến chương kỹ thuật số, 2022 - Dự luật C-27 - đã được chính phủ liên bang Canada đưa ra, cam kết (nếu được thông qua) sẽ thực thi các biện pháp “quyền riêng tư theo thiết kế”, sẽ được duy trì trong phạm vi các ngành công nghệ thông minh tự động hóa và AI.

"Những biện pháp này," Marquis nói, "sẽ mở rộng sang vận chuyển."

Nhưng đối với các nhà sản xuất xe hơi, “quyền riêng tư theo thiết kế” cũng sẽ phụ thuộc vào loại thông tin được thu thập, bà giải thích. Thông tin này là thứ mở rộng “diện tích bề mặt tấn công” của một phương tiện đi lại.

“Thực tế của những chiếc xe tự hành này vẫn chưa rõ ràng. Không rõ họ sẽ sử dụng dữ liệu như thế nào. Không rõ họ sẽ sử dụng AI [để thu thập nó] như thế nào. ”

Bà giải thích, luật pháp trong tương lai sẽ phụ thuộc vào cách [công nghệ] phát triển và cách mỗi nhà sản xuất đối phó với [rủi ro]. ”

Vào cuối cuộc phỏng vấn qua điện thoại, Marquis chỉ ra rằng lỗi của con người không phải là mối đe dọa thực sự ở đây.

Bà nói: “AI cần phải có đạo đức. Và chúng ta cần phải biết nó đưa ra quyết định như thế nào."