Cybersecurity στα αυτοκίνητα: Πόσο πραγματικός είναι ο κίνδυνος και τι σημαίνει για την ασφαλιστική αγορά;
Για περισσότερα από εκατό χρόνια, η διερεύνηση ενός τροχαίου ατυχήματος βασιζόταν σχεδόν αποκλειστικά στα στοιχεία που άφηνε πίσω του η σύγκρουση. Τα ίχνη πέδησης στην άσφαλτο, η θέση των οχημάτων και οι καταθέσεις των οδηγών συνέθεταν το παζλ της πραγματογνωμοσύνης.
Η αυτοκίνηση, όμως, αλλάζει και μαζί της αλλάζει και ο τρόπος με τον οποίο θα αναζητούμε τα αίτια ενός ατυχήματος.
Και αυτό γιατί τα σύγχρονα αυτοκίνητα δεν είναι πλέον μόνο μηχανές. Είναι σύνθετα ψηφιακά συστήματα, με δεκάδες ηλεκτρονικές μονάδες ελέγχου, εκατομμύρια γραμμές λογισμικού και συνεχή σύνδεση με το διαδίκτυο. Διαθέτουν εφαρμογές, λαμβάνουν ενημερώσεις εξ αποστάσεως, επικοινωνούν με τους διακομιστές του κατασκευαστή και αποθηκεύουν μεγάλο όγκο δεδομένων για τη λειτουργία τους.
Η εξέλιξη αυτή δημιουργεί έναν νέο παράγοντα κινδύνου, ο οποίος μέχρι πριν από λίγα χρόνια δεν υπήρχε καν στο λεξιλόγιο της ασφαλιστικής αγοράς: την κυβερνοασφάλεια.
Δεν είναι επιστημονική φαντασία, αλλά ούτε και καθημερινός κίνδυνος
Η ιδέα ότι ένας χάκερ μπορεί να προκαλέσει τροχαίο ατύχημα ακούγεται περισσότερο σαν σενάριο κινηματογραφικής ταινίας παρά σαν πραγματικότητα.
Μέχρι σήμερα, δεν υπάρχουν τεκμηριωμένες περιπτώσεις τροχαίων ατυχημάτων σε δημόσιο δρόμο που να έχουν αποδοθεί αποκλειστικά σε απομακρυσμένη κακόβουλη κυβερνοεπίθεση σε όχημα παραγωγής.
Αυτό, όμως, δεν σημαίνει ότι το ζήτημα είναι θεωρητικό.
Τα τελευταία χρόνια, ερευνητές κυβερνοασφάλειας έχουν αποδείξει, σε ελεγχόμενες εργαστηριακές συνθήκες, ότι ευπάθειες στο λογισμικό μπορούν να επηρεάσουν επιμέρους λειτουργίες ενός οχήματος. Οι δοκιμές αυτές δεν έγιναν για να αποδείξουν ότι τα αυτοκίνητα είναι εύκολοι στόχοι, αλλά για να εντοπιστούν αδυναμίες πριν αυτές αξιοποιηθούν κακόβουλα.
Το μήνυμα ήταν σαφές: όσο αυξάνεται η εξάρτηση του αυτοκινήτου από το λογισμικό, τόσο η κυβερνοασφάλεια μετατρέπεται σε αναπόσπαστο μέρος της οδικής ασφάλειας.
Η Ευρώπη δεν περίμενε να συμβεί το πρώτο μεγάλο περιστατικό
Η νομοθεσία κινήθηκε προληπτικά, με τους κανονισμούς UNECE R155 και UNECE R156, που εφαρμόζονται πλέον στις εγκρίσεις τύπου νέων οχημάτων στην Ευρωπαϊκή Ένωση. Οι συγκεκριμένοι κανονισμοί υποχρεώνουν τους κατασκευαστές να διαθέτουν ολοκληρωμένα συστήματα διαχείρισης κυβερνοασφάλειας και ασφαλών ενημερώσεων λογισμικού σε όλο τον κύκλο ζωής του οχήματος.
Για πρώτη φορά, η ασφάλεια ενός αυτοκινήτου δεν αξιολογείται μόνο με βάση την αντοχή του σε μια σύγκρουση ή την αποτελεσματικότητα των συστημάτων παθητικής προστασίας, αλλά και με βάση την ανθεκτικότητά του απέναντι σε ψηφιακές απειλές, αποδεικνύοντας έτσι πως η κυβερνοασφάλεια αντιμετωπίζεται πλέον ως προϋπόθεση ασφαλούς κυκλοφορίας.
Όταν αλλάζει η έννοια της πραγματογνωμοσύνης
Για τον ασφαλιστικό κλάδο, η μεγαλύτερη πρόκληση ίσως δεν είναι η ίδια η κυβερνοεπίθεση, αλλά η διερεύνηση των αιτίων ενός ατυχήματος.
Σε ένα συμβατικό τροχαίο, η πραγματογνωμοσύνη εστιάζει στα μηχανικά ίχνη της σύγκρουσης. Στα οχήματα νέας γενιάς, όμως, υπάρχει και ένας δεύτερος «μάρτυρας»: τα ψηφιακά δεδομένα που παράγει το ίδιο το όχημα.
Αρχεία καταγραφής λειτουργίας, διαγνωστικά δεδομένα, ιστορικό ενημερώσεων λογισμικού και πληροφορίες από τα ηλεκτρονικά συστήματα ενδέχεται να αποκτούν ολοένα μεγαλύτερη σημασία στη διερεύνηση ενός ατυχήματος. Φυσικά δεν αντικαθιστούν τα παραδοσιακά στοιχεία της πραγματογνωμοσύνης, αντιθέτως τα συμπληρώνουν.
Και όσο η αυτοκίνηση εξελίσσεται προς τα λογισμικά καθοριζόμενα οχήματα (software-defined vehicles), τόσο μεγαλύτερη θα είναι η σημασία αυτών των ψηφιακών δεδομένων.
Η ευθύνη γίνεται πιο σύνθετη
Σε περίπτωση που ένα περιστατικό σχετίζεται με δυσλειτουργία λογισμικού ή με πιθανή ψηφιακή παρέμβαση από έναν χάκερ, η απόδοση της ευθύνης ενδέχεται να αποδειχθεί σημαντικά πιο περίπλοκη από ό,τι σε ένα συμβατικό τροχαίο.
Η διερεύνηση μπορεί να στραφεί προς διαφορετικές κατευθύνσεις: στον κατασκευαστή του οχήματος, στον προμηθευτή του λογισμικού, στον πάροχο κάποιας ψηφιακής υπηρεσίας ή ακόμη και στον κακοποιό που προκάλεσε κακόβουλη παρέμβαση.
Η τελική κρίση θα εξαρτηθεί κάθε φορά από τα πραγματικά περιστατικά και τα διαθέσιμα αποδεικτικά στοιχεία.
Αυτό σημαίνει ότι η αξιολόγηση ενός ατυχήματος θα απαιτεί ολοένα και μεγαλύτερη συνεργασία μεταξύ μηχανικών, ειδικών πληροφορικής, πραγματογνωμόνων και νομικών.
Ο ασφαλιστής αποκτά νέο ρόλο
Όπως πριν από λίγα χρόνια ο ασφαλιστής ενημέρωνε τους πελάτες του για τη σημασία των συστημάτων ADAS ή της σωστής συντήρησης, έτσι σήμερα καλείται να τους ευαισθητοποιήσει και απέναντι στους ψηφιακούς κινδύνους.
Η έγκαιρη εγκατάσταση των επίσημων ενημερώσεων λογισμικού, η χρήση μόνο εγκεκριμένων εφαρμογών, η προστασία των προσωπικών λογαριασμών και η αποφυγή μη εξουσιοδοτημένων παρεμβάσεων στα ηλεκτρονικά συστήματα του οχήματος αποτελούν πλέον βασικές πρακτικές ασφαλούς χρήσης.
Η πρόληψη δεν αφορά πλέον μόνο τα ελαστικά ή τα φρένα. Πλέον αφορά και το λογισμικό.
Η επόμενη δεκαετία θα φέρει νέες προκλήσεις
Οι κυβερνοεπιθέσεις που μπορούν να προκαλέσουν τροχαίο παραμένουν σήμερα εξαιρετικά σπάνιες. Ωστόσο, αυτό δεν σημαίνει ότι η ασφαλιστική αγορά μπορεί να αγνοήσει την εξέλιξη.
Όπως η ηλεκτροκίνηση, η τεχνητή νοημοσύνη και τα προηγμένα συστήματα υποβοήθησης άλλαξαν ήδη τον τρόπο με τον οποίο αξιολογείται ο ασφαλιστικός κίνδυνος, έτσι και η κυβερνοασφάλεια αναμένεται να αποτελέσει έναν ακόμη κρίσιμο παράγοντα τα επόμενα χρόνια.
Ίσως, λοιπόν, στο μέλλον το πιο σημαντικό ερώτημα μετά από ένα τροχαίο να μην είναι μόνο ποιος κρατούσε το τιμόνι.
Αλλά και τι συνέβη στα ηλεκτρονικά συστήματα του οχήματος τα τελευταία δευτερόλεπτα πριν από τη σύγκρουση.
