Presentation från GRC 2016 den 19 maj. Kontakta gärna talaren om du har några frågor.

1. Cybersecurity inom
bilindustrin
Marcus Larsson
GRC 2016, 19 maj

2. Om mig
• CIO och CISO på
Transcendent Group.
• Senior säkerhetsspecialist med
bakgrund som GRC-konsult, IT-
revisor och IT-säkerhetskonsult.
• CISSP, CISA, CISM, CRISC,
CGEIT, CEH, ITIL-certifierad.
©TranscendentGroupSverigeAB2016

3. Agenda
• Safety and security: en titt i
backspegeln.
• Ett nytt hotlandskap: vad betyder
det för bilindustrin idag och i
framtiden?
• Designing success: inkorporera
IT-säkerhet in i organisationella
processer
©TranscendentGroupSverigeAB2016

4. Safety and security: en titt i
backspegeln
©TranscendentGroupSverigeAB2016

5. Safety and security
Safety
• säkerhet för liv och lem
• säkerhet i bilar = ambitionen att rädda liv och undvika skador
• fysiska produkter såsom sätesbälten och airbags.
Security
• skydda verksamheten och produkterna fysiskt
• fysiska barriärer och kontroller som skyddar från stöld av fysiska
produkter och ritningar var tillräckligt för att skydda
verksamheten.
©TranscendentGroupSverigeAB2016

6. En titt framåt
• Säkerhetsprodukter utvecklas konstant och framtida
säkerhetsprodukter kommer alltmer involvera intelligenta
funktioner (mjukvara).
• Exempel på intelligenta säkerhetsprodukter: intelligenta bromsar,
mörkerseende och radarlösningar.
• Utveckling från mestadels fysiska säkerhetsprodukter till mer
intelligenta säkerhetsprodukter medför nya risker och
hotvektorer.
©TranscendentGroupSverigeAB2016

7. Fysiska vs mjukvarumässiga
produktlivscykler
• För enbart fysiska produkter kan en garanti ofta ges exempelvis
att de förväntas hålla i ett visst antal år.
• Kan man idag lämna liknande garantier på intelligenta
säkerhetsprodukter?
• Vad är den förväntade livslängden av en normal bil och dess
säkerhetsprodukter idag?
• En intressant jämförelse är att Microsoft sällan stödjer
mjukvarusäkerhetsuppdateringar för operativsystemet Windows i
mer än 10 år och Google (Android) inte mer än 18 månader.
©TranscendentGroupSverigeAB2016

8. Ett nytt hotlandskap
©TranscendentGroupSverigeAB2016

9. Hacking
Varför?
• sabotage
• stöld av pengar
eller information
• erkännande
Vem?
• forskare
• före detta
anställda
• konkurrenter
(rent a hacker)
• hacktivister
Hur?
• ökad
komplexitet
medför ökad risk
• användandet av
funktioner och
gränssnitt på sätt
de inte var
ämnade
©TranscendentGroupSverigeAB2016

10. Sårbarheter
Kända sårbarheter
• ”In IT security, a vulnerability is a weakness which allows an attacker to reduce a
system's information assurance.”
• Forskas kring löpande och priser/belöningar delas ibland ut för
uppdagade av sårbarheter.
• Har långtgående efterverkningar.
Egenutvecklade sårbarheter
• Inhemska risker kopplade till olika programmeringsspråk som
exempelvis C och SQL.
• Lätt att motverka lågt hängande frukt.
• Låg tolerans för och går emot god sed-principer.
©TranscendentGroupSverigeAB2016

11. Hur vanliga är sårbarheter?
Källa: National vulnerability database via GFI.com
2010 2011 2012 2013 2014
vulnerabilities 4258 3532 4347 4794 7038
2500
3000
3500
4000
4500
5000
5500
6000
6500
7000
7500
©TranscendentGroupSverigeAB2016

12. Security through obscurity
Säkerhet genom obskyritet är inte en bra försvarstaktik.
Teorin om särskild kunskap:
• ”Ingen vet detta…”
• ”Utnyttjande av denna sårbarhet kräver viss kunskap och kompetens”
Teorin om fysisk proximitet:
• ”Man måste vara i bilen för att göra detta!”
• ”Man måste vara inom 10 meter av bilen för att göra detta!”
• ”Man måste vara inom 1 kilometer av bilen för att göra detta!”
• ”Du måste vara på internet för att göra detta…”
©TranscendentGroupSverigeAB2016

13. Ständigt uppkopplade bilar
Drivande faktorer: infotainment (Apple och Google)
Mjukvaruuppdateringar
Internet of things
• “Shodan is the world's first search engine for internet-connected devices.”
• Webkameror, skrivare, kylskåp, byggnader, kärnkraftverk, bilar.
• Även om Shodan är ett verktyg som används i forskningssyfte så kan
dess funktionalitet replikeras för mer ljusskygga aktiviteter.
”Oroa dig inte kära kund, din bil är helt säker! Men den går att fjärrstyras av vem
som helst på internet…”
- ditt bilföretag
©TranscendentGroupSverigeAB2016

14. IT-säkerhet är lika
viktigt som fysisk
säkerhet
• Gällande intelligenta produkter är dessa
två sorters säkerhet två sidor av samma
mynt.
• Man kan inte ha det ena utan det andra.
• Därför måste säkerhet vara en
integrerad del av designen och hela
vägen fram till produktens livslängd
löpt ut.
©TranscendentGroupSverigeAB2016

15. Vad står på spel?
• VD sedan 2007 avgick.
• Volkswagen måste eventuellt återkalla 11 miljoner
bilar.
• Aktien föll 40 % på en vecka.
• Kreditmätningsbyrån Fitch, har uttryckt att denna
skandal är en “vändpunkt” för hela globala
bilindustrin och kommer ha “omfattande och
långtgående efterverkningar”.
©TranscendentGroupSverigeAB2016

16. Designing success: inkorporera
säkerhet i existerande processer
©TranscendentGroupSverigeAB2016

17. Designa er egen
framgång
• Strukturerat arbete från A till Z,
succé är inte en slump.
• Holistisk och riskbaserad
approach: säker
mjukvaruutveckling,
hotintelligens och
sårbarhetshantering, incident och
forensiska processer.
©TranscendentGroupSverigeAB2016

18. Riskanalys
• Förstå era produkter: Vilka
hotvektorer finns? Vilken
säkerhetsnivå bör finnas?
• Förstå er omgivning: Vad händer
i er värld? Finns det kända
sårbarheter i era produkter?
• Förstå era processer: Vem gör
vad och när?
©TranscendentGroupSverigeAB2016

19. Det procedurella angreppsättet
Definition av process:
• Vem gör vad och när?
• Vem tillser att vad blir gjort och när samt att vad är rätt sak att
göra?
Process
Substantiv pro·cess ˈprå-ˌses, ˈprō-, -səs
:a En serie händelser som producerar något som leder
till ett förväntat resultat
©TranscendentGroupSverigeAB2016

20. Processer: antiproduktivitet i förklädnad?
Några citat:
• ”Processer innebär bara massa byråkrati!”
• ”Tid är pengar!”
• ”Och när skall vi jobba på riktigt då?”
Henry Ford, löpande bandet:
• specialisering
• effektivisering
• högre kvalitet
• billigare
• säkrare
©TranscendentGroupSverigeAB2016

21. Processer för att motverka sårbarheter
(mjukvarulivscyckelhantering)
Strukturerad utveckling och designprocess:
• motverkar uppkomsten av
skadlig kod
• genomtänkt ur produkthänsyn och robusthet
• nutida och framtida hotlandskap för koden analyserat.
Det behövs även process för övervakning av uppkomsten av
nya sårbarheter:
• interagerar med redan produktionssatt kod
• ställer krav på framställan av kod.
©TranscendentGroupSverigeAB2016

22. Utmaningar med
säker kod
• Vad som är säker kod är inte lika
intuitivt att avgöra som
exempelvis kompakt kod eller
snabb kod.
• Kräver särskild kompetens och
fortsatt träning.
• Vad som är säkert idag är inte
nödvändigt säkert imorgon.
Heartbleed, Shellshock, Poodle,
SSL/TLS.
©TranscendentGroupSverigeAB2016

23. Några extrema
exempel
NASA
• Ett års arbete och kvalitetskontroller
för att ändra tre rader kod i en Mars
Rover.
• En bluescreen per 15 år.
Angry Birds
• Från sekunder till minuter mellan
releases.
Hur mycket fokus lägger
bilföretagen på säker kod idag?
©TranscendentGroupSverigeAB2016

24. Best practice gällande säker kodning
• löpande riskanalyser
• segregation of duties
• dualitet
• procedurell kvalitet och
säkerhetstestning
• verktygsstödda processer:
OWASP, Debuggers
• processen uppdateras i takt
med omgivningen.
Testkriterier:
• snabb?
• kompakt?
• säker?
©TranscendentGroupSverigeAB2016

25. Incidentprocess
Upptäcka nya hot:
• strukturerad hotintelligens
• vetskap om din produkt och dess hotvektorer samt hotlandskap.
Incidentprocess:
• sårbarhetshantering
• forensics
• lärande processer.
©TranscendentGroupSverigeAB2016

26. Hitta balansen
• Hur är balansen mellan säkerhet
och produktutveckling?
• För lågt fokus på risk innebär
risk för långtgående negativa
effekter.
• Med för högt fokus blir
processerna onödigt långsamma
och kostsamma vilket kan få
negativ effekt på vinstmarginaler.
©TranscendentGroupSverigeAB2016

27. Tre saker att komma
ihåg
• Safety och security är nu
samma sak.
• Mjukvarulivscykeln är
sannolikt lika lång som den
fysiska produktens
förmodade livslängd.
• Framgång är inte en slump.
©TranscendentGroupSverigeAB2016

28. www.transcendentgroup.com