🚗 Сбор данных современными автомобилями

Глава комитета Госдумы по цифровому развитию и искусственному интеллекту Александр Сидякин предложил распространить принципы «закона Яровой» на иностранные автомобили. Инициатива предполагает проверку того, какую информацию современные машины отправляют производителям и сторонним сервисам🔎: от точных координат, записей с микрофонов и видео с видеорегистраторов до детальной телематики электронных систем. И хотя поводом стали риски при использовании таких машин госслужащими, технически эта проблема касается каждого владельца подключенного автомобиля.

Давайте сначала посмотрим, как с безопасностью и сбором данных автомобилями следят в других странах, и какой практический вывод можем сделать мы.

🌍 Мировой опыт
Тема безопасности автомобилей уже давно вышла на уровень национальной безопасности и защиты приватности во всех ведущих юрисдикциях:
⏺ Европейский Союз применяет GDPR и EU Data Act, которые регулируют сбор данных строго регламентирован. Передача автомобильной телеметрии за пределы ЕС без жестких гарантий и согласия пользователя запрещена. Согласно требований UNECE WP.29 (CSMS) автопроизводители обязаны внедрять официальные системы управления кибербезопасностью транспортных средств, проходить аудит и защищать цепочки обновлений "по воздуху".
⏺ Соединенные Штаты Министерство торговли США (BIS) и профильный закон Connected Vehicle Security Act вводят ограничения на использование зарубежного ПО и аппаратного обеспечения в подключенных авто.
⏺ Китай Стандарты Министерства промышленности и информатизации требуют, чтобы все данные, собираемые автомобилями на территории страны, хранились исключительно на локальных серверах без права беспрепятственного трансграничного экспорта.

Соответственно, тренд очевиден, и государства больше не смотрят на автомобиль просто как на средство передвижения — это полноценный IoT-компьютер на колесах, генерирующий гигабайты конфиденциальной телеметрии 🤖.

При этом отсутствие трансграничной передачи и обеспечение безопасной передачи данных вендору не исключают возможность внутренних злоупотреблений данными, как, например, старый случай с когда работники Tesla сливали в групповой чат «избранные» записи с камер электромобилей 🤬.

Какие практические выводы из этого можно сделать? Мы вряд ли сможем управлять разрешениями, которые имеет наш автомобиль, ну по крайней мере до выпуска для них кастомных прошивок, но для себя нужно:
⏺ Учитывать, что связка «смартфон + приложение производителя авто» часто сливает рекламным трекерам VIN-номер, e-mail, телефон и точные координаты перемещений. Предлагаю минимизировать доступы и разрешения у приложений в вашей ОС.
⏺ Загляните в дебри меню бортового компьютера. Отключите опции «улучшения качества сервиса», маркетинговой телеметрии и передачи аналитических отчетов производителю, если они есть и включены по умолчанию.

💬 Относитесь к современному автомобилю как к смартфону на колесах. Помните, что каждый сервис мультимедиа или подключенный по Bluetooth гаджет расширяет вашу цифровую поверхность атаки.

📖 InfoSec Context
| TG | Max | Web