Dubbla, eller till och med trippla, säkerhetssystem på olika nivåer sätter stopp för sådant. Och om det ändå skulle lyckas så finns det andra system som helt enkelt bromsar in och stoppar tåget.
Däremot finns det all anledning att ta hoten på allvar av andra orsaker, berättar Stefan Persson, som arbetar som ansvarig systemingenjör för styrsystem på Bombardier i Sverige. Säkerhetsfrågorna är oerhört viktiga för vissa av våra kunder och utomlands har det förekommit incidenter för andra tågtillverkare.
Det som har inträffat har framför allt varit att någon har lyckats hacka sig in i tågens infotainmentsystem och ändrat informationen eller förmedlat politiska eller kränkande budskap.
Det kanske inte låter så allvarligt i jämförelse, men det blir allt vanligare med exempelvis kameraövervakning och där vill vi inte att fel personer ska kunna ta över kamerorna eller få tillgång till bildmaterialet. Och i jämförelse kanske det åtminstone har varit lättare att ta sig in här än att komma åt de grundläggande funktionerna för tåget.
Kopplingar till andra system ökar sårbarheten
En anledning till just infotainmentsystemen i vissa fall kan vara sårbara är deras många kopplingar till andra system. De interagerar med andra tåg för att kunna visa aktuella anslutningståg och eventuella förseningar. De hämtar helt enkelt information från många källor och förpackar den på lämpligt sätt för att vara till nytta och nöje för passagerarna.
Här har vi en stor fördel jämfört med företag inom många andra branscher, säger Stefan Persson. Vi har jobbat med andra sorters säkerhetsfrågor, det som kallas safety på engelska, i så många år att vi utvecklat oerhört bra processer. När nu nätbaserade säkerhetshot växer kan vi hantera dem på samma sätt, i vår befintliga struktur. I grunden är det samma frågor som måste ställas, även om lösningarna blir annorlunda.
Tidigt säkerhetstänkande sparar pengar
Den absolut viktigaste lärdomen av många års säkerhetsarbete är att integrera säkerhetstänkandet tidigt i utvecklingsarbetet.
Säkerheten finns med i alla steg i utvecklingen av nya system. Säkerheten är visserligen alltid en kompromiss, men på det här viset kan vi hela tiden göra medvetna val. Det blir dessutom billigare. Att addera säkerhet i slutänden blir ofta oerhört dyrt. I praktiken kan det handla om så praktiska frågor som placering av olika enheter på tåget. Ett modernt tågset är välfyllt med elektronisk styrutrustning och vissa system är mer känsliga än andra. Dessa placeras då på ett så säkert ställe som möjligt, vilket givetvis är enklare att lösa i ett tidigt skede av utvecklingsprocessen. Trots sin erfarenhet valde Bombardier att ta hjälp av Combitech för att förbättra sitt säkerhetsarbete.
De har hjälpt till att implementera en IT-säkerhetsprocess, berättar Stefan Persson. Det kan bli ganska komplext och då vill man ha någon att bolla med. Dessutom ger det mot kunderna en extra tyngd att kunna säga att en expert på IT-säkerhet har kollat systemen. Det ger inte samma trovärdighet om vi själva säger det.
Siktar på att stå på egna ben
På sikt kommer vi att stå på egna ben även inom det här området, men tills vi kommer dit måste jag säga att det varit en väldigt pedagogisk resa. Jag själv har faktiskt lärt mig så sjukt mycket av att bolla de här frågorna med en extern part som förstår vår situation men ändå har nya infallsvinklar.
För Bombardier är det extra viktigt att tänka rätt från början, eftersom deras tågsystem i många fall ska leva i decennier. Mycket hinner ske inom säkerhetsområdet på den tiden.
Det gäller att designa systemen så att det går att uppgradera skyddet efter hand. Det kan handla om att lägga vissa delar djupare ner i säkerhetsarkitekturen, eller att skapa en design som underlättar för ett snabbt förstärkt skalskydd, i form av exempelvis flera brandväggslager. Ibland kan det vara bättre att förstärka skyddet runtomkring än att förändra den kritiska komponenten.
I framtiden kan det vara fler än Stefan som sitter i biosalongen och skakar på huvudet. Han upplever nämligen att intresset för IT-säkerhetsfrågorna har ökat inom branschen, inte minst hos kunderna.
– Det ligger i tiden. Nu kan vi tillsammans diskutera vilken säkerhetsnivå vi ska ha och kunderna är dessutom villiga att betala för IT-säkerheten. Så var det inte för tio år sedan.
