04/09/2015
El hackeo informático de un vehículo interconectado el pasado mes de julio, ha impulsado la aparición de propuestas legislativas para fijar estándares de seguridad y límites al tratamiento de datos.
La noticia sobre el hackeo de la página web Ashley Madison y sus consecuencias ha llenado las portadas de todos los periódicos. Sin embargo, el pirateo informático de un vehículo realizado el pasado mes de julio, sin duda un asunto mucho más peligroso, ha pasado desapercibido para el gran público, aunque ha conseguido alarmar a los legisladores.
El pasado 21 de julio, dos investigadores estadounidenses de IOActive Labs, Charlie Miller y Chris Valasek, demostraron mediante el hackeo de un Jeep Cherokee que era posible manipular este vehículo conectado de forma remota. Mediante sus dos portátiles, los dos científicos consiguieron conectar el aire acondicionado, que se encendiera la radio, que se activaran los limpiaparabrisas y, finalmente, que se parara el motor.
Frente a esta evidente amenaza, los legisladores estadounidenses han sido los primeros en dar el paso. Los senadores Ed Markey y Richard Blumenthal acaban de presentar una propuesta de ley que pretende fijar unos estándares de ciberseguridad en los nuevos vehículos conectados, en la que aparecen niveles mínimos de protección para los vehículos, para los datos de sus dueños, los límites del tratamientos de los mismos y las consecuencias legales del incumplimiento.
"La propuesta se centra principalmente en cuestiones relativas a la privacidad de los datos y el antihacking. Sin embargo, estoy seguro que a medida que este tipo de vehículos se democraticen -hasta ahora el desarrollo, uso y proliferación de coches conectados y autónomos está en Estados Unidos-, las problemáticas se multiplicarán y se precisará una mayor regulación", explica Alejandro Touriño, socio de tecnología de la información de Ecija.
Unión Europea
No cabe duda de que la Unión Europea, que en febrero de 2013 presentó una propuesta de directiva sobre seguridad de las redes y de la información, deberá tomar nota de estos últimos eventos e incluir esta nueva amenaza dentro de esta norma que seguirá discutiéndose en este nuevo semestre.
Sin embargo, el letrado emite una advertencia y apunta que "Europa debe hacer un esfuerzo por permitir y fomentar la innovación, en lugar de establecer restricciones o barreras que la frenen. Debemos regular, pero propiciando la innovación y la revolución tecnológica, sin prescindir de valores básicos como el respeto por la privacidad o la seguridad".
Touriño cree que los legisladores no deberían caer, como es habitual, en la sobreprotección y la sobrerregulación. A su entender, no tendría sentido regular consecuencias de tecnologías específicas y explica que la normativa debería tener carácter de grandes principios, de modo que cuando ésta evolucione no sea necesario cambiar la norma. Así, la misma ley serviría para todos los asuntos y los jueces contarían con un margen para la interpretación. "Una regulación sobre principios es duradera, pero una que intenta atarse al presente tecnológico está condenada a morir".
Otro de los asuntos a los que da mucha importancia la propuesta de ley estadounidense es el de la posible transmisión de los datos generados por el vehículo conectado y su utilización por parte de terceros. El especialista en tecnología de la información de Ecija, está convencido de que terminará generando más de un problema en el futuro.
Advertencia
"En materia de privacidad, la información y el consentimiento son clave par la utilización de los datos de los usuarios. Y éstos deberían ser advertido sobre lo que conlleva conducir un vehículo conectado en cuanto a transferencia de información".
Sin embargo, Touriño cree que la dificultad de este asunto reside en otro aspecto: "El coche lanzará mucha información de terceros que ellos no han consentido, y esos datos se recabarán en la vía pública. Es algo parecido a los conflictos que se generaron con Google Street View en Europa". Además, el letrado intuye otro problema en el futuro: "Veremos qué ocurre cuando estos vehículos incorporen cámaras a modo de cajas negras en caso de accidente".
Por último, el letrado también hace hincapié en el Big Data y el posible uso de la información generada por los vehículos. "Toda esta información (los patrones de navegación de los coches), será muy interesante para anunciantes y establecimientos como gasolineras, aparcamiento, etcétera, y por eso hay que marcar los límites. A mi juicio la normativa que tenemos actualmente en la Unión Europea en materia de protección de datos y privacidad ya da respuesta a estas situaciones. Quizás lo único que necesitemos es que autoridades de control, jueces y tribunales adapten estas situaciones a las nuevas realidades".
Autorregulación entre los fabricantes
Ante la posible lentitud legislativa y los probables retrasos que se puedan generar, los fabricantes de coches ya han tomado la delantera y se han propuesto generar una especie de regulación propia, imitando, de una cierta manera, lo que hicieron las entidades financieras en 2012 para luchar y dar respuesta a las amenazas de los ciberataques. La Asociación Global de Fabricantes de Automóviles, junto a otros organismos regionales como la AAM (Estados Unidos), la Acea (Unión Europea) y la Jama (Japón), ya están trabajando en la elaboración de un reglamento que establezca pautas en el intercambio de información sobre los ciberataques. Además, van a crear un centro de análisis conjunto que identifique las amenazas contra los vehículos conectados, así como sistemas de protección estandarizados y posibles respuestas a los ataques.
