Uppkopplade tjänstebilar: säkra appar och användarkonton

Bilens app och molntjänster behöver ingå i företagets it-säkerhetsarbete, inte bara själva fordonet. En ny studie visar att en växande andel av rapporterade säkerhetsbrister finns i tjänsterna runt bilen – där uppgifter om förarnas rörelser kan finnas lagrade.

En uppkopplad bil utbyter information med flera externa system, exempelvis tillverkarens molntjänster och laddstationer. Därmed räcker det inte att enbart granska säkerheten i bilens inbyggda mjukvara.

Forskarna ser en förskjutning: tidigare fanns bristerna oftare i fordonets egna system, medan appar, webbsidor och molntjänster nu står för en större andel. Riskerna bedöms också allt oftare som allvarliga.

Resultatet betyder däremot inte att antalet genomförda bilintrång har tredubblats. Undersökningen gäller rapporterade svagheter, och förändringen avser deras fördelning mellan olika typer av system. Den visar inte heller att varje uppkopplad bil har samma brister.

I appar och molntjänster kan det finnas information om förarens bostad samt var och när bilen används. För svenska företag med servicebilar, leveransfordon eller tjänstebilar kan sådana uppgifter även ge insyn i verksamhetens rörelsemönster.

Om kördata hamnar hos obehöriga skulle de exempelvis kunna avslöja återkommande kundbesök eller var ett fordon brukar stå parkerat. Det är en möjlig konsekvens för verksamheten, inte ett konstaterat intrång i studien.

En praktisk åtgärd är därför att kartlägga vilka bilrelaterade tjänster företaget använder, vilka uppgifter de lagrar och vilka personer som har tillgång till dem. Kontrollera särskilt vad som händer med åtkomsten när en anställd slutar eller ett fordon lämnas tillbaka.

Srijita Basu, forskare inom data- och informationsteknik, pekar på att även grundläggande säkerhetsproblem förekommer:

Forskarna uppmärksammar också risken att bilens ljud- och mediasystem blir en ingång till andra system. Vid ett säkerhetstest av en Jeep Cherokee 2015 kunde forskare gå via mediasystemet och påverka styrning, gas och broms. Den nya studien pekar på att liknande sårbarheter fortfarande förekommer.

Att skilja systemen som styr bilen från övriga it-system är framför allt en uppgift för tillverkarna. Som företagskund kan du däremot fråga hur leverantören hanterar säkerhetsuppdateringar och upptäckta brister.

Gör en gemensam genomgång med den som ansvarar för fordonen och den som sköter företagets it. Lista appar, administratörskonton och användare. Byt eventuella standardlösenord, använd unika lösenord och aktivera flerfaktorsinloggning där tjänsten erbjuder det.

Utse också någon som följer upp säkerhetsinformation och uppdateringar från leverantörerna. Inför nästa bilköp eller leasingavtal bör ni fråga hur länge mjukvaran får säkerhetsstöd och hur konton och lagrade uppgifter hanteras vid ägar- eller brukarbyte. Börja med den befintliga fordonslistan – och kontrollera vem som faktiskt har digital tillgång till varje bil.