Datos, cifras, balances, unidades, resultados, comparativas, lanzamientos, mercados… Lo habitual cuando cualquier fabricante de vehículos hace un repaso o resumen de su actividad en los últimos meses es que trate de todos esos temas. También te habla de alianzas, de estrategias y de objetivos. Entre ellos, los hay que hacen referencia al impacto medioambiental; otros, sobre cuotas de mercado; algunos se centran en la tecnología. Y, poco a poco, la ciberseguridad también va a apareciendo como aspecto fundamental para las marcas.
No solo porque hablamos de un apartado que se antoja crucial para garantizar la privacidad y la vida de quienes viajan a bordo -porque cualquier vehículo ya es como un dispositivo tipo móvil u ordenador, pero con la peculiaridad de que puede desplazarse a 120 km/h por la autopista-, sino porque dicha ciberseguridad va a ser un requisito obligatorio a cumplir en regiones como la Unión Europea, Corea del Sur o Japón.
Y todo ello por la aplicación, prácticamente en su totalidad, de la normativa UNECE/R155, por la cual todos los vehículos nuevos que estén a la venta desde julio de 2024 deben ser ciberseguros -algo que pueden demostrar con un certificado, como el emitido por EUROCYBCAR, empresa pionera en el mundo en combinar automoción y ciberseguridad y cuya CEO es Azucena Hernández-.
Pues bien, con estos precedentes hemos querido ver cómo asume este importante cambio una marca tan popular en España y en toda Europa, como es Renault. Para comprobarlo, existe un documento titulado como ‘Securies Report’, cuya última edición vio la luz un 12 de mayo de 2023, de tal forma que, en breve, aparecerá la nueva versión.
Pero centrándonos en el que, de momento, es público, hay dos cosas que llaman la atención de un simple vistazo. La primera, que el término ‘cíberseguridad’ aparece hasta en un total de 38 ocasiones. La segunda, que el informe en sí es muy extenso: Nada menos que 690 páginas. ¿Cuáles son las ideas más interesantes que se recogen en él sobre esta materia?
Muchos anuncios, iniciativas… pero, ¿quién certifica sus coches en ciberseguridad?
Algo curioso para empezar hace referencia a que la ciberseguridad no solo se debe aplicar a los vehículos, sino también a otros dispositivos… como los puntos de recarga. Renault destaca que en la última edición del Salón de Paris presentó el Mobilize Powerbox, calificándola de ser «una estación de carga conectada, bidireccional y segura para vehículos eléctricos». ¿Entre sus objetivos? «Proporcionar una solución a los riesgos de ciberseguridad cuando los vehículos eléctricos están conectados a estaciones de carga».
En cuanto a la ciberseguridad del vehículo en general, poco más adelante aseguran que «es uno de los principales desafíos que enfrenta la movilidad. Orange, a través de su filial Orange Cyberdefense, el Grupo Renault y Thales, junto con la start-up Parcoor, anunciaron el co-desarrollo de una solución para detectar y analizar potenciales ciberataques con el fin de proporcionar una respuesta rápida, protegiendo así el vehículo. Esta solución, basada en IA y aprendizaje automático, se instalará en los vehículos Renault a partir de 2025. El proyecto cuenta con el apoyo de BPIFrance».
Un poco más adelante, en un apartado que lleva el título de «ciberseguridad» hacen referencia al ‘reglamento 661/2009’, del que dicen que «introduce requisitos para los vehículos -de todas las categorías- mediante la adopción del nuevo reglamento de Ginebra que codifica este ámbito. Estos requisitos entraron en vigor en julio de 2022 para los vehículos recién homologados y entrarán en vigor en julio de 2024 para todos los vehículos recién matriculados en la Unión Europea». En realidad, basta echar un vistazo a la publicación de dicho reglamento en el Diario Oficial de la Unión Europea de fecha 31 de julio de 2009 para comprobar que se hace referencia a dispositivos, pero de seguridad, que deben incorporar los vehículos.
Con todo, esto sirve para que el documento de Renault hile con la ciberseguridad, al considerar que todas esas «nuevas disposiciones exigen que los fabricantes establezcan un sistema de gobernanza de la ciberseguridad muy bien estructurado para garantizar la trazabilidad y la transparencia de todas las decisiones y aprobaciones con respecto a las autoridades de inspección y exigen todas las soluciones técnicas de última generación que limiten los riesgos cibernéticos a ser considerados en el diseño de sus vehículos. El sistema debe estar acreditado por un tercero» -de nuevo, una tarea que podría hacer una empresa pionera como EUROCYBCAR, con su sistema de evaluación y certificación que permite saber si un determinado modelo cumple con los 70 requisitos de la normativa UNECE/R155-.
Aseguran que el sistema de gobernanza de la ciberseguridad de Renault ya estaba «acreditado» por la UTAC y la CNRV a principios de 2022, y que posteriormente se están llevando a cabo ampliaciones, en particular con la incorporación de nuevos centros de producción. Por otro lado, comentan que varios países, incluidos Japón, Corea del Sur, Turquía e Israel, están en proceso de adoptar o adoptarán requisitos similares en los mismos plazos.
Aparte de estas exigencias de creación de un sistema de gobernanza de la ciberseguridad de sus productos, reflejan en el informe que «los fabricantes deberán crear un sistema de gestión de los desarrollos de software para garantizar la trazabilidad de las decisiones de actualización y de las configuraciones de los vehículos» y que Renault lo tendría en 2023.
En el informe también se destaca algo fundamental, y es que para cumplir con los diferentes requisitos y propósitos va a ser fundamental disponer de ‘cantera’ suficiente dentro del Grupo Renault. En este sentido, hablan de su Universidad ReKnow, abierta a todo el sector, hasta 2025 15.000 empleados del Grupo Renault y 4.500 estudiantes y proveedores recibirán formación en las competencias que necesitará el futuro industria de la automoción, en movilidad eléctrica, economía circular, software, ciberseguridad y datos.
La ciberseguridad para los coches… y para la propia empresa
Este apartado comienza diciendo… algo obvio y es que las actividades del Grupo Renault dependen, cada vez más, del adecuado funcionamiento de sus sistemas informáticos y de información. Consideran que con la estrategia en la nube, el aumento de la digitalización, la industria 4.0, el desarrollo de servicios conectados… tienden a aumentar la exposición a amenazas y hacen de la ciberseguridad un desafío importante. ¿A qué riesgos se estarían enfrentando y que pudiera afectar a su actividad?
Por ejemplo, el ciber-crimen o todos aquellos ataques informáticos globales o bien dirigidos a los intereses del Grupo. Estos ataques, en un contexto de fuerte crecimiento, «pueden tener como objetivo acceder a datos sensibles -estratégicos, de productos, servicios o personales- para robarlos o alterarlos, bloquear servicios o incluso la totalidad de los sistemas de información del Grupo».
De materializarse tales riesgos, y a pesar de que aseguran estar fortaleciendo continuamente las medidas para evitarlos, podrían tener «importantes impactos financieros relacionados con la suspensión temporal de las actividades del Grupo» –de todo tipo–, con posibles sanciones que les fueran impuestas por las autoridades o con el aumento de las primas de seguros. También podría provocar impactos adversos en la imagen del Grupo «y en la confianza de terceros y clientes en el Grupo y sus marcas».
Otro aspecto que se destaca en que la creciente comercialización de vehículos y servicios conectados por parte del Grupo Renault va acompañada de la aparición de riesgos de magnitud comparable. naturaleza, cuya gestión si no es lo bastante sólida y sostenible «podría tener consecuencias negativas para la seguridad y la fiabilidad de los datos, los servicios o los vehículos».
Para gestionar los riesgos, se hace referencia a todo tipo de medidas que ya se implantan o se pueden implementar. Por ejemplo, se habla del despliegue de «políticas de seguridad; sistema de gestión de la ciberseguridad; políticas en procedimientos operativos; una organización global de ciberseguridad en toda la empresa; existencia del comité de riesgos y control interno…
Aunque lo más significativo es cuando hablan del desarrollo de la ciberseguridad de los vehículos y servicios asociados en relación con «la necesidad de cumplir con las nuevas normativas -UNECE R155 y R156» sobre ciberseguridad de los vehículos. Concluyen diciendo que, a principios de 2022, el Grupo Renault obtuvo la certificación oficial de UTAC para la gestión de su ciberseguridad -CSMS-. Es una parte, pero no el todo, para cumplir íntegramente con las mencionadas normativas.
