La digitalización es algo que ha cambiado para siempre muchos aspectos de la sociedad, entre ellos, la forma en la que las empresas gestionan su movilidad. Hoy, un vehículo ya no es solo un medio de transporte -de personas, de mercancías, de ejecutivos…-: es un dispositivo conectado que almacena datos, recibe actualizaciones y se comunica con su entorno con el fin de proporcionar innumerables ventajas competitivas en cuanto a operatividad, costes… Sin embargo, eso también obliga a replantear cómo se evalúa su ciberseguridad antes de incorporarlo a una flota.
Cada vez más compañías descubren que, al comprar vehículos conectados, están adquiriendo también un ecosistema de software que convivirá con ellas durante años. Ese software -que controla desde funciones básicas hasta servicios avanzados- necesita mantenerse al día no solo para ir añadiendo mejoras, sino también para seguir siendo seguro. Pero no siempre ocurre así. La ciberseguridad con la que un vehículo sale del concesionario puede no ser la misma tres años después, especialmente si el fabricante reduce el ritmo de actualizaciones o deja de dar soporte a determinadas arquitecturas.
Las normativas actuales de ciberseguridad en vehículos o en sus actualizaciones, como la UNECE/R155 y la R156, han introducido obligaciones importantes para los fabricantes: deben gestionar la ciberseguridad de sus vehículos y garantizar un sistema de actualizaciones de software. Sin embargo, estas normas no fijan un mínimo de actualizaciones anuales ni obligan a mantener el mismo nivel de soporte durante toda la vida útil del vehículo. En la práctica, esto significa que dos modelos que cumplen la normativa pueden ofrecer niveles de protección muy distintos con el paso del tiempo.
A ello se suma un problema técnico que suele pasar desapercibido: la dependencia entre hardware y software. En muchas arquitecturas tradicionales, el código está tan ligado al procesador que, cuando el fabricante cambia de chip, mantener versiones antiguas se vuelve complejo o directamente inviable. El resultado es que algunos vehículos quedan ‘congelados’ en una versión de software que ya no evoluciona, mientras que otros -los basados en plataformas más modulares- pueden seguir recibiendo mejoras durante más años. Para una empresa que gestiona decenas o cientos de vehículos, esta diferencia es crítica.
Por eso, antes de adquirir una flota, hemos consultado a los expertos del Área Técnica de la empresa tecnológica EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández– las preguntas que conviene hacerse… y que rara vez aparecen en los procesos de compra o en los pliegos de características que debe tener el modelo elegido.
Por ejemplo: ¿Cuánto tiempo garantiza el fabricante que seguirá lanzando actualizaciones? ¿Cuál es su historial real -no el prometido- en la gestión de vulnerabilidades? ¿Cuánto tarda en reaccionar cuando se descubre un fallo? ¿Qué parte del software depende de hardware que ya está en fase de sustitución? ¿Qué visibilidad tendrá la empresa sobre el estado de seguridad de cada vehículo? Estas cuestiones, que hace una década podían parecer secundarias -o siquiera plantearse-, hoy son esenciales para evaluar el riesgo tecnológico que entra por la puerta junto con las llaves.
A partir de aquí, la parte constructiva: ¿qué puede hacer una empresa para proteger su flota? Lo primero es asumir que la ciberseguridad no es un producto ‘puntual’, sino un proceso continuo. Un vehículo no está ‘seguro’ por defecto; está seguro en la medida en que se mantiene, se supervisa y se actualiza. También es recomendable pedir al fabricante información clara sobre su política de actualizaciones -frecuencia, alcance, duración del soporte- y sobre la arquitectura de software del modelo. Además, conviene establecer auditorías periódicas, formar a los equipos internos y definir un protocolo de actuación ante incidentes, porque la rapidez de respuesta es hoy un factor decisivo.
En este punto, y de cara a las empresas interesadas por la ciberserguridad de sus flotas, la formación especializada se convierte en una herramienta clave. Grupo CYBENTIA, a través de su Área de Formación dirigida por Jonay Peñate, ha desarrollado programas específicos para ayudar a empresas, fabricantes y proveedores a comprender y gestionar los riesgos asociados a la movilidad conectada.
Entre ellos destaca un curso dedicado a la ciberseguridad en flotas de vehículos, que aborda desde las vulnerabilidades más habituales hasta las mejores prácticas para operar una flota conectada de forma segura.
