De overheid moet regels opstellen over hoe lang fabrikanten connected auto's van beveiligingsupdates moeten voorzien. Dat is een van de aanbevelingen in het onderzoek van Herbert Leenstra voor de Cyber Security Academy Den Haag.
Het onderzoek richt zich op de vraag op welke manier gezorgd kan worden dat connected voertuigen van degelijke beveiliging worden voorzien. Vanaf 2018 moeten bijvoorbeeld alle nieuwe auto's in de EU een eCall-systeem aan boord hebben, dat automatisch in werking treedt bij aanrijdingen. Via de verschillende externe verbindingen van auto's, waaronder bluetooth, wifi en mobiel internet, is in veel gevallen toegang tot de CAN-bus te krijgen, zoals verschillende onderzoeken in het verleden hebben aangetoond. Leenstra legt aan Tweakers uit dat zijn onderzoek bestaat uit een technische analyse gecombineerd met profielen van mogelijke aanvallers. Het kritieke punt van zijn onderzoek is dat ervoor gezorgd moet worden dat het vertrouwen van de consument wordt behouden.
In zijn onderzoek stelt Leenstra enkele aanbevelingen op voor verschillende partijen die betrokken zijn bij de beveiliging van voertuigen. Op de vraag wie als hoofdverantwoordelijke moet worden gezien, antwoordt Leenstra: "Het makkelijke antwoord op die vraag is dat de fabrikant de hoofdverantwoordelijkheid voor de beveiliging van zijn voertuigen draagt. Dat is alleen niet helemaal waar." Zo ligt de verantwoordelijkheid bijvoorbeeld ook bij de overheid om een prikkel te creëren voor fabrikanten. "De centrale vraag daarbij is hoe lang een auto precies van patches voorzien moet worden, aangezien de gebruikstijd van een auto rond de tien jaar kan liggen."
Op het gebied van Android-smartphones is tegenwoordig een grote verdeeldheid te zien als het gaat om de verspreiding van beveiligingsupdates door fabrikanten. Ook hier stelt de overheid nog geen regels. Leenstra zegt daarover dat het inderdaad om een vergelijkbare situatie gaat en dat hij dan ook niet verwacht dat het probleem van de ene op de andere dag is opgelost. Een tweede vraag waar de overheid zich over moet buigen, is aan wie de verzamelde voertuiggegevens toebehoren, bijvoorbeeld aan de gebruiker of aan de fabrikant.
De consument heeft ook zelf een verantwoordelijkheid, los van de fabrikant en de overheid. Volgens Leenstra is het belangrijk dat consumenten zelf vragen stellen over de veiligheid van hun voertuigen. Een andere partij is de verzekeringssector, die alle beveiligingsincidenten moet bijhouden. Aan de hand van deze historische gegevens kunnen vervolgens verschillende analyses uitgevoerd worden, bijvoorbeeld voor het vaststellen van trends en het inschatten van risico's voor een bepaalde auto. Daar komen nog de brancheorganisaties bij. Die moeten respectievelijk consumenten informeren en kennis delen door een speciale organisatie op te richten zoals de Amerikaanse Auto-ISAC. De laatste partij zijn de providers, die veilige versleutelde verbindingen dienen te gebruiken, naast de laatste beveiligingsontwikkeling op het gebied van V2X-communicatie.