¿Dónde queda la ciberseguridad en el nuevo plan para el desarrollo del vehículo eléctrico y conectado en España?

Roi Ferro, corresponsal de HackerCar, me pasaba la semana pasada algunas preguntas sobre la recién aprobada ley PERTE VEC de la UE que dota de unos cuantos miles de millones con la idea de apoyar la industria nacional del automóvil eléctrico y conectado.

Como era de esperar, las preguntas se centraban en el papel que juega la ciberseguridad dentro de todo este plan de actuación, y ya te adelanto que no mucho.

Dejo por aquí las respuestas que le di al medio, y el enlace al artículo que publicaron (ES).

¿Cómo valoras el PERTE VEC -Vehículo Eléctrico y Conectado-, para España?

Bueno, no deja de ser una inyección de algo más de 24 mil millones de euros en tres años para intentar modernizar la industria del automóvil en el país.

Por supuesto, bien usado puede ser un buen punto de comienzo para generar una cultura empresarial y de innovación que acabe marcando la ruta industrial.

La realidad es que habrá que ver, como tantas otras veces, dónde acaban todos esos millones, y qué impacto tienen realmente…

Son buenas noticias, pero dudo que acabe siendo suficiente, lamentablemente, para dar un giro de 180 grados al mercado actual.

¿Echas en falta una partida específica o que se le de mayor importancia al tema de la ciberseguridad en este tipo de vehículos? ¿Por qué?

He intentado buscar tanto en la memoria descriptiva (ES/PDF) como en la propia página del PERTE VEC del Ministerio de Industria y Comercio (ES) menciones claras a la partida que hace referencia a la ciberseguridad, y tengo que decir que al menos yo no he encontrado mucho, por lo que no puedo más que sacar dos conclusiones principales.

• La primera es que parece que el PERTE VEC está sobre todo enfocado a la primera parte de su nombre (los coches eléctricos), y de forma auxiliar a su segunda (los coches conectados).
• La segunda es que solo se habla de ciberseguridad en las redes 5G, lo que entronca con el primer punto (el PERTE se centra sobre todo en dotar a la industria del automóvil de liquidez para abandonar el motor de combustión).

¿Qué riesgos tienen los coches eléctricos y conectados, desde el punto de vista de la ciberseguridad? ¿Qué pueden hacer los ‘crackers’ con ese tipo de vehículos?

Pues mira, exactamente los mismos que cualquier coche de combustión conectado jajaja.

En el momento en el que vimos conveniente meterle un chip a un vehículo, pasamos a abrazar también los riesgos informáticos. Y en el momento en que ese chip lo conectamos a la red, pasamos del riesgo informático local (alguien físicamente accede al vehículo para comprometer su seguridad) al riesgo global (alguien, en cualquier parte del mundo, consigue encontrar una vulnerabilidad que le permite acceder remotamente a los vehículos).

Hay que dejar claro, sobre todo para no llevar a alarmismos, que eso no significa per sé que cualquiera con conocimientos pueda desactivar el freno o movernos el volante mientras conducimos. Ataques tan críticos como podrían ser estos son muy pero que muy complejos de realizar en remoto gracias a que todo el sistema informático de un vehículo opera por capas, y las capas más cercanas a la mecánica del coche no están conectadas (al menos no fácilmente) con los sistemas accesibles online.

Pero sí puede ser que se expongan datos de navegación o de uso que, en la práctica, podrían acabar siendo utilizados para monitorizar a según qué personas, o para realizar ataques mucho más sofisticados.

¿Cuál crees que es la solución?

Difícil pregunta… Si te refieres a la partida presupuestaria, decirte que muy probablemente esta en particular no busca lo que seguramente a nosotros nos interesaría, por lo que habría que esperar a otra que sí se centrase en la seguridad per sé.

Probablemente si le preguntas a aquellos que han firmado el documento te dirían que esto puede ser un inicio, que la casa hay que empezarla por los cimientos y no por el tejado, o incluso defenderse asegurando que la falta de partida específica en ciberseguridad se debe a que ya por fin esta rama de la industria se encuentra integrada por completo en toda la cadena.

Como ves, puede haber lecturas para cualquier punto de vista :D.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.