Data Mobil Pintar: Masalah Privasi

pibitek.biz -Dua senator Amerika Serikat meminta Komisi Perdagangan Federal (FTC) untuk menindak produsen mobil karena berbagi data pengemudi tanpa persetujuan. Mereka mengklaim bahwa produsen mobil seperti General Motors, Honda, dan Hyundai telah mengumpulkan dan menjual informasi pengemudi, seperti data percepatan dan pengereman, ke Verisk, sebuah perusahaan analitik data. Data ini kemudian dijual lagi ke perusahaan asuransi.

Para senator menuduh produsen mobil menyembunyikan praktik berbagi data ini di dalam dokumen yang rumit dan membuat pernyataan menyesatkan tentang bagaimana mereka akan menggunakan data pengemudi. "FTC harus menindak produsen mobil yang berbagi data pelanggan mereka dengan broker data tanpa mendapatkan persetujuan, serta broker data yang menjual kembali data yang diperoleh secara ilegal", tulis mereka dalam surat kepada FTC. "Mengingat jumlah konsumen yang terdampak dan penipuan yang dilakukan terhadap konsumen menggunakan pola-pola yang gelap, FTC juga harus meminta pertanggungjawaban para pejabat perusahaan senior atas pelanggaran privasi pelanggan mereka yang mencolok".

Masalah berbagi data pengemudi ini hanyalah salah satu dari sekian banyak masalah keamanan dan privasi yang terkait dengan kendaraan modern yang sangat terhubung dengan software. Kendaraan ini menawarkan berbagai keunggulan, seperti otomatisasi yang lebih tinggi, kemampuan otonom, dan pengalaman pengguna yang sangat personal. Namun, mereka juga mengumpulkan data yang sangat banyak dan sulit untuk dilindungi dan diamankan.

"Kendaraan kamu tahu nama kamu, alamat rumah kamu, informasi debit/kredit kamu, seberapa cepat kamu mengemudi, seberapa keras kamu mengerem, apa yang kamu tanyakan kepada asisten suara, lokasi yang sering kamu kunjungi dan kapan", kata Riley Keehn, konsultan utama urusan peraturan dan pemerintahan untuk SBD Automotive, sebuah perusahaan riset dan konsultasi otomotif. "Kamera dan sensor deteksi penumpang dan mengemudi otonom tertentu bahkan dapat melihat kamu dan lingkungan sekitar kamu". Pengemudi dan kendaraan mereka menjadi target langsung serangan siber karena penyimpanan data pribadi dan identifikasi (PII) dan jenis data sensitif yang sangat banyak di dalam kendaraan.

Serangan ini dapat terjadi melalui sistem kabel seperti port OBD-II atau bahkan lampu depan, koneksi ke kendaraan melalui jaringan Wi-Fi bersama dan tidak aman, melalui stasiun pengisian mobil listrik, komponen aftermarket yang disusupi, dan cara lainnya, kata Keehn. Beberapa risiko ini dapat diatasi melalui pendekatan keamanan sejak awal dan penerapan praktik terbaik dan peraturan industri, seperti UN R155 tentang Sistem Manajemen Keamanan Siber (CSMS) dan UN R156 tentang Sistem Manajemen Pembaruan software (SUMS), ISO/SAE 21434:2021 tentang Teknik Keamanan Siber untuk Kendaraan Jalan Raya, dan persyaratan internasional dan regional lainnya, katanya.

Namun, situasi menjadi rumit ketika data pribadi tersebut diproses setelah dikumpulkan oleh kendaraan. "Amerika Serikat masih kekurangan peraturan privasi data yang komprehensif dan umum sebanding dengan GDPR UE, kerangka kerja PIPL/DSL/CSL China, dan peraturan global lainnya yang telah mengadopsi model dan ketatnya GDPR", kata Keehn. Amerika Serikat sebagian besar bergantung pada peraturan sektoral, seperti HIPAA di bidang kesehatan, untuk mengatasi persyaratan privasi dan keamanan data yang unik.

Negara bagian individu telah mengisi celah tersebut dengan undang-undang privasi data mereka sendiri, menciptakan tambal sulam peraturan yang tidak konsisten, sering kali membebaskan sektor dan teknologi tertentu. Sementara beberapa negara bagian mungkin memiliki persyaratan yang jelas tentang bagaimana produsen peralatan asli (OEM) harus menangani penyimpanan, pengumpulan, berbagi, dan penjualan data, negara bagian lain mungkin memiliki persyaratan yang berbeda atau tidak sama sekali, katanya. "Ketidakkonsistenan dan kurangnya panduan nasional di Amerika Serikat menciptakan serangkaian risiko di tingkat bisnis dan dapat mendorong budaya OEM di mana keamanan berhenti pada kendaraan", tambah Keehn.

David Brumley, CEO perusahaan keamanan software ForAllSecure, mengatakan bahwa perusahaan mobil harus diminta untuk meminta persetujuan yang jelas dari pengemudi untuk berbagi informasi mereka untuk iklan atau tujuan lain yang tidak spesifik untuk memberikan fitur yang diperlukan. "Pembaruan software over-the-air? Mungkin disajikan dari Amazon atau Google. Peta? Mungkin dari pihak ketiga.

Posisi yang akurat? Ini bukan hanya GPS; sering kali dibantu dengan metadata lain – seperti Swift Navigation – untuk meningkatkan akurasi", catat Brumley. Sebuah vendor mobil mungkin memerlukan beberapa data, seperti informasi lokasi, misalnya, untuk menyediakan layanan seperti bantuan di jalan, peringatan lalu lintas, dan mengemudi otonom. Jadi harus ada persyaratan persetujuan yang terpisah untuk berbagi data tersebut dan untuk berbagi data untuk alasan keuntungan murni, katanya.

"Kedua, kita membutuhkan undang-undang yang menyatakan bahwa perusahaan tidak boleh membatasi fungsionalitas ketika seseorang memilih untuk tidak ikut", tambahnya. "Seseorang tidak boleh memaksa persetujuan kamu agar kamu dapat terus mengemudi untuk bekerja". Brumley mengatakan tidak realistis untuk mengharapkan FTC untuk mendorong banyak perubahan.

"Mereka tidak menggunakan kekuatan regulasi mereka di domain lain, dan malah mengandalkan dinamika pasar bebas", yang tidak akan membantu di sini, katanya. "Di mana kita mungkin mendapatkan dorongan adalah peraturan UE, yang cenderung lebih ketat. Kita juga perlu agar konsumen berbicara bahwa hal itu memengaruhi keputusan pembelian mereka".