Anche le auto possono subire attacchi informatici. Come funziona il Regolamento UNECE R155

Le automobili sono sempre più connesse e digitali, ma anche esposte a nuove minacce informatiche. Il Regolamento UNECE R155 introduce requisiti di cybersicurezza per i costruttori, dalla progettazione alla gestione dei rischi durante la vita del veicolo, con l’obiettivo di proteggere i sistemi di bordo e rendere la mobilità più sicura

Oggi possiamo aprire un’auto con lo smartphone, controllarne alcune funzioni a distanza, aggiornare il software senza passare dall’officina e utilizzare sistemi elettronici che ci assistono durante la guida. Le automobili sono diventate piattaforme tecnologiche sempre più sofisticate, nelle quali componenti meccaniche, software e connessioni digitali lavorano insieme. Questa evoluzione offre nuove possibilità, ma introduce anche rischi che fino a pochi anni fa erano difficili da immaginare. Un veicolo connesso, infatti, può essere esposto a vulnerabilità informatiche proprio come uno smartphone o un computer. Per affrontare queste minacce è nato il Regolamento UNECE R155, che introduce requisiti specifici per la cybersicurezza dei veicoli.

• Le auto connesse possono diventare bersagli dei cyberattacchi
  Software, sensori, centraline elettroniche e connessioni digitali aprono nuove possibilità, ma anche nuove vulnerabilità.
• Cosa prevede il Regolamento UNECE R155 e quali obblighi introduce
  La normativa internazionale stabilisce come i costruttori devono identificare, prevenire e gestire i rischi informatici.
• Cosa cambia per gli automobilisti e per la sicurezza stradale
  Dalla protezione dei sistemi di bordo agli aggiornamenti software, la cybersicurezza diventa parte integrante della sicurezza del veicolo.

Le auto connesse possono diventare bersagli dei cyberattacchi

Quando pensiamo a un attacco informatico, immaginiamo generalmente un computer compromesso, un account violato o dei dati personali sottratti. Ma cosa succede quando il bersaglio è un’automobile? Le vetture moderne utilizzano numerose centraline elettroniche che gestiscono funzioni differenti, dal motore alla frenata assistita, dai sistemi di infotainment alle tecnologie di assistenza alla guida. Molte possono inoltre comunicare con dispositivi esterni, applicazioni mobili e servizi digitali attraverso reti cellulari, Bluetooth o altre connessioni.

Ogni collegamento con l’esterno rappresenta una possibile superficie di attacco informatico, soprattutto quando presenta vulnerabilità che potrebbero essere sfruttate per ottenere accessi non autorizzati. Un malintenzionato potrebbe, per esempio, cercare di compromettere un sistema di apertura a distanza, sottrarre informazioni sulla posizione del veicolo oppure sfruttare una debolezza del software per interferire con alcune funzionalità elettroniche.

Questo non significa che tutte le automobili connesse siano facilmente violabili o che un attacco informatico possa automaticamente compromettere la guida, perché i rischi dipendono dall’architettura del veicolo, dalle vulnerabilità presenti e dalle protezioni adottate, ma è evidente che il problema non riguarda più soltanto la riservatezza dei dati personali, dal momento che software e componenti digitali intervengono sempre più spesso sul funzionamento dell’automobile, con possibili conseguenze anche sulla sicurezza stradale.

La progressiva digitalizzazione dei veicoli impone quindi ai costruttori di considerare la cybersicurezza fin dalle prime fasi di progettazione, anziché intervenire soltanto quando viene scoperta una vulnerabilità. È proprio su questo principio che si fonda il Regolamento UNECE R155.

Cosa prevede il Regolamento UNECE R155 e quali obblighi introduce

La sicurezza informatica delle automobili non è più soltanto una scelta tecnologica delle case produttrici, ma anche una questione regolamentare. Il Regolamento ONU n. 155, conosciuto come UNECE R155, è stato sviluppato nell’ambito della Commissione economica per l’Europa delle Nazioni Unite (UNECE) per definire requisiti comuni di cybersicurezza applicabili all’omologazione dei veicoli.

Non si tratta, quindi, di una direttiva europea, ma di un regolamento internazionale recepito nel sistema di omologazione dell’Unione europea. Dal 6 luglio 2022 i requisiti sono diventati obbligatori nell’UE per l’omologazione dei nuovi tipi di veicoli interessati e dal 7 luglio 2024, in linea generale, anche per la prima immatricolazione dei nuovi veicoli, comprese automobili, autobus e mezzi commerciali rientranti nelle categorie previste. L’obbligo non si applica retroattivamente a tutte le auto già in circolazione.

La principale novità introdotta dalla R155 riguarda la responsabilità dei costruttori, ai quali non basta più dotare le automobili di singoli strumenti di protezione informatica, ma viene richiesto di dimostrare l’adozione di un Cyber Security Management System (CSMS), un sistema organizzato di gestione della cybersicurezza che accompagna il veicolo durante tutte le fasi di sviluppo, produzione e post-produzione.

Questo significa identificare i potenziali rischi informatici, valutarne la gravità, adottare adeguate misure di protezione e verificarne l’efficacia attraverso controlli e test. I costruttori devono inoltre monitorare le minacce emergenti, individuare eventuali vulnerabilità e predisporre procedure per rispondere agli attacchi. La valutazione riguarda anche i rischi associati ai fornitori e ai componenti sviluppati da aziende esterne.

Il sistema di gestione viene sottoposto alla valutazione delle autorità competenti per l’omologazione, che possono rilasciare un certificato di conformità valido per un massimo di tre anni, rinnovabile dopo una nuova verifica.

Il cambiamento più importante riguarda il modo stesso di concepire la sicurezza di un’automobile, perché la protezione informatica non può più essere considerata un requisito da soddisfare una sola volta, prima della commercializzazione, ma deve essere presidiata e gestita nel tempo, anche dopo la vendita del veicolo, per affrontare minacce informatiche che continuano a evolversi.

Cosa cambia per gli automobilisti e per la sicurezza stradale

Per chi acquista o utilizza un’automobile, gli effetti del Regolamento UNECE R155 sono soprattutto indiretti. Il proprietario non deve richiedere una certificazione di cybersicurezza né effettuare particolari adempimenti per rispettare la normativa. Sono i costruttori a dover dimostrare che i veicoli soggetti ai nuovi requisiti siano stati progettati e realizzati attraverso processi adeguati di gestione dei rischi informatici.

Una delle conseguenze più significative riguarda la capacità di affrontare le vulnerabilità che possono emergere dopo la vendita. Un’automobile moderna può infatti ricevere aggiornamenti software che correggono errori, migliorano alcune funzionalità o risolvono problemi di sicurezza. Gli aggiornamenti possono avvenire in officina oppure, quando previsto dal costruttore, direttamente a distanza attraverso la tecnologia Over-the-Air (OTA).

Su questo aspetto interviene anche il Regolamento UNECE R156, complementare alla R155, che disciplina la gestione degli aggiornamenti software dei veicoli e introduce specifici requisiti per garantirne la corretta esecuzione. Le due normative affrontano aspetti differenti, ma strettamente collegati, della sicurezza delle automobili digitali.

Anche gli automobilisti, comunque, possono contribuire alla protezione del proprio veicolo attraverso alcune semplici precauzioni. Mantenere aggiornati i sistemi quando richiesto dal costruttore, utilizzare applicazioni ufficiali per controllare l’auto da remoto, proteggere adeguatamente le credenziali di accesso ed evitare il collegamento di dispositivi sconosciuti alle interfacce elettroniche sono comportamenti che aiutano a ridurre l’esposizione ai rischi informatici.

Naturalmente, nessuna normativa può garantire l’assenza assoluta di vulnerabilità o impedire ogni possibile attacco. La R155 introduce però un principio fondamentale, quello di considerare la cybersicurezza parte integrante della sicurezza automobilistica, al pari delle altre caratteristiche tecniche che vengono valutate durante la progettazione e l’omologazione.

Per molto tempo la sicurezza stradale è stata associata soprattutto a cinture, airbag, freni e sistemi di assistenza alla guida. Oggi bisogna guardare anche a ciò che non si vede, ai programmi informatici che fanno funzionare il veicolo, alle connessioni con l’esterno e alle informazioni scambiate dai sistemi elettronici. In un’automobile sempre più digitale, proteggere il software significa contribuire anche alla sicurezza delle persone che viaggiano a bordo e di chi condivide la strada.

Scopri subito quanto puoi risparmiare sulla polizza auto: è veloce e senza impegno