Avviser ikke problemet, men mener selskapets forsikringsplugg er nærmest hackersikker

Som digi.no skrev nylig i en Digi Ekstra-sak, mener hackeren Charlie Miller at det er en så stor sikkerhetsrisiko å montere forsikringsplugger i bilen, at man bør unngå å gjøre dette. Slike forsikringsplugger er enheter som blant annet samler inn data om kjøremønsteret til bilførerne.

Det er ikke denne innsamlingen Miller først og fremst advarer mot, men i stedet det at pluggen har full tilgang til bilens sentrale CAN bus-nettverk via diagnoseporten OBD II, noe som i verste fall kan utnyttes av ondsinnede hackere til å få kontroll over funksjoner som styring og bremser.

Sparebank 1 Forsikring er blant dem som tilbyr en slik løsning i Norge. Prosjektleder for denne løsningen er Svein Skovly.

Godt sikret

Han forteller til digi.no at han opplever det Miller beskriver som et gyldig problem, men mener likevel at løsningen som Sparebank 1 Forsikring tilbyr, er godt sikret mot slik hacking.

– Vi gjorde en grundig analyse av markedet i fjor sommer. Fordi omdømmerisikoen, både når det gjelder datasikkerhet og personvern, er veldig høy, la vi veldig vekt på nettopp dette, forteller Skovly.

– Resultatet ble at vi endte opp med en annen type leverandør enn mange andre, ved at vi først ønsket å sikre at vi hadde en robust hardwareløsning, som vi har lagt en forsikringsløsning på toppen av, forteller han.

Les også: Sparebank1 investerer 100 millioner i AI for å gjøre ansatte overflødige. Dette er historien bak den norske teknologien

TomTom

Leverandøren av enheten er ikke ukjente TomTom.

– TomTom kan bil, mener Skovly. – De er blant annet leverandør til mange bilprodusenter. De presenterte oss for en veldig robust løsning, som vi også har fått gjort en ekstern sikkerhetsanalyse av, forteller han.

– TomTom står med veldig rak rygg når vi diskuterer dette.

Enheten fra TomTom er ikke knyttet direkte mot mobilnett eller internett, men kommuniserer stedet med bileierens smartmobil via Bluetooth.

– Dette begrenser tilgangen betraktelig, sier Skovly, men legger likevel til at det finnes eksempler på bilrelaterte Bluetooth-enheter som har blir hacket.

Digitalt signert

Ifølge Skovly er kommunikasjonen som enheten utfører, hardkodet i enheten.

– Dette i motsetning til enheter hvor man kan styre atferden til pluggen fra en app, forteller Skovly. Han mener folk bør være oppmerksomme på dette når de kjøper en dings på for eksempel Ebay.

Fastvaren i enheten som Sparebank 1 Forsikring tilbyr, kan kun oppdateres fra TomToms servere, ved at fastvaren er digitalt signert. Selve oppdateringen gjøres automatisk via appen til Sparebank 1 Forsikring.

Personvern

Ifølge Skovly er det ikke bare sikkerheten som Sparebank 1 Forsikring har vært opptatt av med denne løsningen, men også personvernet.

– Vi har hatt mange diskusjoner med en «data scientist» om hvilke data vi må ha og hva vi kan klare oss uten, forteller han.

Skovly understreker at forsikringsselskapet verken vet posisjonen til bilen eller hvem som til enhver tid er sjåføren. Enheten kan heller ikke registrere lovbrudd.

– Pluggen har et akselerometer og kan registrere om du kjører med flyt, forteller Skovly.

Når man kjører med flyt, er kjøringen mer planlagt og dermed tryggere, er tankegangen bak det hele.

– Vi får en del informasjon om kjøreatferd, noe som er viktig for oss for å forstå risikoen bedre. Men dataene aggregeres på pluggen daglig, noe som kjør dem vanskelige å «dekryptere», slik at ingen kan se at du bremset hardt klokken 12 denne dagen, forklarer Skovly.

Synkroniseres

Dataene lagres i minnet i pluggen og synkroniseres kun når eieren av forsikringen setter seg inn i bilen og har med seg smartmobilen med appen installert. Gjennom appen kan føreren også få umiddelbare tilbakemeldinger om kjøreatferden.

– Vi får en del data fra bilen, noe vi blant annet bruker til automatisk justering av kjørelengden som er oppgitt i forbindelse med forsikringen. Denne justeringen går begge retninger, både lengre og kortere kjørelengde.

– Når vi samler inn data, så vil kunden få tilgang til en «dagbok» for bilen sin, som vi setter vårt stempel på. Dette er noe kunden kan bruke når bilen skal selges videre, for eksempel for å kunne bevise at bilen kun er søndagskjørt, sier Skovly.

Ingen posisjonsdata

Fordi enheten ikke registrerer posisjon, kan den heller ikke registrere fartsovertredelser.

– Du får ikke lav score av å kjøre fort, det er kun flyt som teller. Men det er vanskelig å kjøre med flyt i for eksempel 50-sonen dersom du kjører veldig fort, forteller Simen B. Rudi, kommunikasjonsrådgiver hos Sparebank 1 Forsikring, til digi.no.

Han legger likevel til at selskapet etter hvert må vurdere om ekstremfart er noe som skal være med i registreringene.

– Men vi vet ikke fartsgrensen der du kjører, legger han til.

Ifølge Rudi er forbrukerne veldig bevisste når det gjelder personvern og forsikringsløsningen. I kommunikasjonen med forbrukere som stiller spørsmål, forteller selskapet om hva det samler inn og ikke.

– Folk er mer opptatt av å ikke bli tatt for grisekjøring enn av om de blir hacket, sier Rudi.

Tre uker etter at denne forsikringsløsningen ble lansert, hadde den allerede fått 3000 aktive brukere.

Stoler på hverandre

Ifølge Skovly viser kundeundersøkelser at forsikringsbransjen i Norge har et helt annet forhold til kundene enn det som er tilfellet lenger sør i Europa, hvor tilliten ikke er på samme nivå.

– Men vi stoler også på kundene våre, legger han til.

Skovly forteller at dataene fra enheten aldri vil bli brukt i forbindelse med forsikringsoppgjør.

– De som jobber med oppgjør og salg hos oss, har ikke tilgang til kundenes kjørescore, forteller Skovly.

Så hva er da hensikten med løsningen sett fra forsikringsselskapets ståsted?

– Det å få den på plass i bilen gjør den til et tema. Vi vet at den ikke er superpresis på scoringen, men målet er å få opp bevisstheten rundt atferden. Det at man får slike der-og-da-tilbakemeldinger fra appen, har en effekt, spesielt dersom man har noen andre i bilen som følger med på appen, forteller Skovly.

– Vi tror vi har en modell som er god nok til formålet, men det vil vise seg når vi får et større datagrunnlag, fortsetter han.

– Vi har tall på at ulykkene går ned, legger Rudi til.

Kan velges bort

Sparebank 1 Forsikring har selvfølgelig vært i kontakt med Datatilsynet i forbindelse med denne løsningen.

Ifølge Skovly har tilsynet vært veldig opptatt av det også må være et alternativ for kundene å ikke velge en slik løsning. I praksis innebærer dette at rabatten man får ved å bruke løsningen, ikke blir så stor at man ikke har råd til å la være.

I alle fall hos Sparebank 1 Forsikring vil man aldri få høyere forsikringspremie enn uten pluggen, uansett hvor grisete man kjører.

Les også: Uroet over svak IT-sikkerhet i dagens «smarte» biler