Svijest o rizicima nesigurnog sistema videonadzora ključna je za sve menadžere sigurnosti. Kamere, povezani senzori i softveri za upravljanje videonadzorom mogu biti meta zlonamjernih aktera zbog podataka koje prikupljaju
Piše: Jos Beernink, potpredsjednik Upravnog odbora za EMEA regiju, Milestone Systems
U današnjem digitalnom svijetu nije iznenađenje da je cyber sigurnost u fokusu mnogih upravnih odbora. Naime, 96% izvršnih direktora smatra da je IT sigurnost ključna za rast i stabilnost njihove kompanije, navedeno je u istraživanju koje je proveo Accenture. I zaista, opravdano su zabrinuti, jer se procjenjuje da će cyber kriminal koštati svijet nevjerovatnih $9,5 biliona dolara u 2024. godini, prema istraživačkoj firmi Cybersecurity Ventures. Takvi gubici mogu naštetiti reputaciji, ali i dovesti do prekida ili propasti poslovanja.
Cyber rizici povezani s videotehnologijom
Svijest o rizicima nesigurnog sistema videonadzora ključna je za sve menadžere sigurnosti. Kamere, povezani senzori i softveri za upravljanje videonadzorom mogu biti meta zlonamjernih aktera zbog podataka koje prikupljaju. Ti se podaci mogu iskoristiti za ucjenu ili prikupljanje povjerljivih informacija. Naprimjer, hakeri mogu kriminalcima prodati snimke izgleda zgrade i osoblja u različitim dijelovima dana.
IP kamere, osim što su same po sebi potencijalno ranjive na zlonamjerne aktivnosti, mogu poslužiti kao ulaz za veće napade poput distribuiranih napada uskraćivanja usluge (DDoS). Kada je u pitanju zaštita poslovanja, važno je shvatiti da nema univerzalnog pristupa, jer svaki poslovni sistem ima svoje specifične potrebe i ranjivosti. Naprimjer, zaštita škole bit će različita od zaštite data centra ili solarnih farmi. Stoga prvi korak u zaštiti kompanije i njenih nadzornih sistema jeste razumijevanje onoga što treba zaštititi, na koji način i od koga.
NIS2 direktiva
Zaštita kamera i videonadzornih sistema postat će još važnija zbog NIS2 direktive, koja će podići ukupni nivo cyber sigurnosti u evropskim mrežnim i informacijskim sistemima. Ova direktiva će imati poseban utjecaj na svaku nadzornu instalaciju koja spada u ciljane “esencijalne” industrije, uključujući sektor energije, transporta, bankarstva, javne uprave i digitalne infrastrukture.
Prema njoj, korisnici su obavezni ne samo procijeniti vlastite sisteme već i provesti sveobuhvatnu procjenu rizika kako bi osigurali usklađenost cijelog lanca nabavke. U današnjim povezanim sistemima postizanje usklađenosti kroz lanac nabavke može biti izazovno.
Naprimjer, nedavna ranjivost Log4j alata utjecala je na milione računara širom svijeta, naglašavajući direktan utjecaj na sisteme koji koriste ovu otvorenu biblioteku za logiranje kao mali dio njihovog softverskog paketa. Važno je napomenuti da nekoliko proizvođača softvera, uključujući i Milestone Systems, koji prioritetiziraju siguran dizajn i izbjegavaju upotrebu open source softvera nisu bili pogođeni.
NIS2 direktiva prepoznaje da sigurnosne prijetnje predstavljaju značajan rizik za organizacije koje se oslanjaju na digitalne operacije. Instaliranje kamera i drugih sistema za kontrolu pristupa digitalnim resursima, poput soba sa serverima i data centara, od vitalnog je značaja. Takve organizacije će morati poduzeti aktivne i kontinuirane korake kako bi osigurale što robusniju zaštitu njihove videomreže.
Značaj tehničke zaštite
Tehnička sigurnost izuzetno je važan aspekt videonadzornih mreža. Jedna od ključnih karakteristika takvih mreža je to što se mnogi uređaji nalaze na javnim ili potencijalno ranjivim područjima. Većina kompanija mora instalirati kamere kako bi pratila prometne dijelove, ulaze i izlaze iz ograničenih područja ili udaljene dijelove lokacije. Ovo može povećati rizik za kamere, jer olakšava napadačima pristup i mogućnost onesposobljavanja uređaja. Zbog toga je ključno implementirati višeslojnu sigurnost kako bi uređaji bili sigurni i odvojeni od šire IT mreže.
Pojedinačna odgovornost
NIS2 direktiva naglašava da IT i sigurnosni odjeli trebaju zajednički raditi na izgradnji snažne strategije cyber sigurnosti. IT tim će morati biti blisko uključen prilikom primjene strategije cyber sigurnosti za videonadzor. Oni će s vama raditi na nekim osnovnim elementima zaštite vašeg VMS-a i povezanih uređaja zbog njihovog iskustva u područjima poput virtuelnih privatnih mreža (VPN) i virtuelnih lokalnih mreža (VLAN).
Kada započinjemo našu strategiju cyber sigurnosti, važno je provjeriti ko je odgovoran za različite aspekte sigurnosti, poput ažuriranja, revizija i testiranja penetracije. Ponekad vanjske strane, poput proizvođača ili instalatera, mogu biti odgovorne za neke od tih aspekata vaše cyber sigurnosti.
Stoga, kada započinjemo svoju strategiju cyber sigurnosti, trebamo procijeniti prirodu poslovanja (i njegove ciljeve), utvrditi lokalne propise i pravilnike, potvrditi ko je odgovoran za održavanje vašeg sistema, pitati ko ga nadgleda (neuobičajen promet ili obavještenja o tehničkim greškama mogu biti indikacije cyber napada) i jasno odrediti ko ima pristup vašoj videonadzornoj i računarskoj mreži (da li je nivo pristupa adekvatan njihovim potrebama, ima li operater previsok nivo pristupa i da li neko ko je napustio organizaciju i dalje ima pristupne podatke).
Kada je riječ o pristupu, također moramo razmotriti fizičke elemente poput toga ko ima pristup sobi za servere na kojima se pokreće VMS. Alarmi i kontrola pristupa mogu pomoći u sprečavanju neovlaštenih osoba da uđu u osjetljiva područja gdje se nalaze vaši videopodaci.
Razmatranje ljudskog elementa
Vrijedi razmotriti cjelokupni program obuke, jer ljudski faktor može biti značajna slabost u vašoj cyber sigurnosti. Prema zajedničkom istraživanju profesora Jeffa Hancocka sa Stanford Univerziteta i firme Tessian, odgovornost za 88% do 95% povreda podataka leži upravo na ljudskim greškama. Čak i nešto tako jednostavno kao ponovna upotreba lične lozinke za prijavu na VMS nalog ili padanje pod socijalnoinžinjerske napade, poput primanja “hitnog” e-maila od menadžera koji traži detalje naloga, može obesmisliti svaku cyber sigurnosnu funkciju koju primjenjujete.
Zbog toga je redovna obuka vašeg sigurnosnog tima ključna, jer ih može držati informisanim o najnovijim prijetnjama i novim metodama zaštite, kako sebe tako i vašeg sistema od potencijalnih šteta. Kontrola korisnika također može biti od pomoći, s administratorskim i pristupnim pravima podacima dodijeljenim samo onima kojima su potrebni. Dodjeljivanje različitih korisničkih pristupa VMS-u spriječit će dijeljenje lozinki i omogućiti vam da uklonite pristup korisnika kada napuste vašu kompaniju.
Osnovne mjere cyber sigurnosti
Osim toga, potrebno je redovno ažuriranje firmvera naših kamera i upravljačkih programa VMS-a na najnovije verzije. Nadogradnje se obično izdaju kontinuirano, stoga se trebamo pobrinuti da naš proizvođač kamera redovno izdaje sigurnosna ažuriranja koja uključuju zakrpe za ranjivosti i dodatne zaštite protiv novih prijetnji. Naravno, ažurirani VMS sistemi i kamere manje su privlačna meta za hakere.
Onemogućavanje ugrađenog administratorskog računa kamera ili mijenjanje zadane lozinke jedna je od prvih stvari koje je potrebno učiniti prilikom instaliranja novog uređaja. Zatim treba osigurati da kamere podržavaju samo HTTPS (sigurna verzija HTTP-a).
Za najbolju zaštitu odabrana lozinka treba biti kombinacija malih i velikih slova, kao i posebnih znakova i brojeva. Ne smiju se koristiti lako pogodive riječi ili fraze – upotreba riječi “lozinka” je apsolutno zabranjena! Lozinke također ne bi trebale sadržavati nikakve informacije koje identificiraju korisnika ili koje haker može dobiti iz njihovih javnih profila i društvenih mreža. Još važnije, VMS račune ne bi trebalo dijeliti više korisnika.
Važnost višeslojne sigurnosti
Preporučljivo je držati videonadzornu mrežu odvojenom od šire IT mreže. To se može postići korištenjem VPN-a za udaljeni pristup i VLAN-a za izolaciju videonadzornog sistema od ostalih IT sistema. Na taj način, čak i ako dođe do kompromitiranja kamera ili VMS-a, naprimjer, putem zaraženog USB uređaja ili neovlaštenog pristupa, šteta će biti ograničena.
Kibernetički napad na provajdera sistema u SAD-u 2021. godine otkrio je videosnimke sa 150.000 kamera, ali i osjetljive finansijske informacije visokoprofilnih klijenata. Napadači su dobili pristup sistemima provajdera koristeći korisničko ime i lozinku koja je bila izložena. Ovo naglašava važnost primjene dobrih praksi vezanih za lozinke, uključujući njihovo redovno mijenjanje, korištenje složenih lozinki te edukaciju osoblja o važnosti nedijeljenja lozinki s drugima.
Više od stotinu zaposlenika imalo je “super admin” privilegije u sistemu provajdera, omogućavajući pristup snimcima s hiljada kamera klijenata, a da to nisu znali. Postavljanje odgovarajućeg nivoa pristupa za svakog korisnika osigurava da je rizik i potencijalno širenje hakovanja ograničeno. Drugim riječima, što više administratora imate, to je više ciljeva za hakere.
Napokon, osim videosnimaka, hakeri su također mogli pristupiti osjetljivim finansijskim i klijentskim informacijama putem napada. Odvajanje vaše videomreže od vaše IT mreže ograničava koliko daleko haker može ići ako pristupi vašem sistemu. To ih sprečava da pristupe finansijskim podacima vašeg poslovanja, operacijama i drugim osjetljivim sistemima.
Cyber sigurnost je kontinuiran proces
Sve navedeno ukazuje na to da svaki sistem ima ranjivosti te da cyber prostor konstantno evoluira. Biti svjestan te imati kontrolu i odgovornost prilikom korištenja videa od ključne je važnosti u zaštiti kompanije.
Milestone Systems organizuje seriju webinara o cyber sigurnosti kako bi pomogao korisnicima da zaštite svoju videonadzornu mrežu. Bilo da tek počinjete s kibernetičkom sigurnošću ili razmatrate unapređenje postojećih mjera, ovi webinari i događaji će pomoći da vaš videosistem učinite otpornijim. Više detalja o ovim webinarima, uključujući prvi o temeljnim elementima strategije cyber sigurnosti videonadzora, možete pronaći na: t.ly/nuvno.
Milestoneov VMS softver može biti prilagođen da zadovolji svaku vašu potrebu, od održavanja zaštite ljudi i imovine do poboljšanja efikasnosti poslovanja. Pozivamo vas da iskusite snagu i funkcionalnost Milestoneovog VMS softvera kroz ekskluzivni Demo Trail, pružajući praktično iskustvo sa našim vrhunskim rješenjima za upravljanje videozapisima.
O Milestone Systemsu
Milestone Systems je vodeći pružatelj softvera za upravljanje videozapisima. Njihovi proizvodi pomažu u zaštiti imovine i povećanju efikasnosti poslovanja. Milestone podržava otvorenu platformsku zajednicu koja potiče saradnju i inovacije u razvoju i korištenju tehnologije snimanja. Njihova pouzdana i skalabilna rješenja dokazana su na više od 500.000 korisničkih lokacija širom svijeta. Osnovan 1998. godine, Milestone je samostalna kompanija u okviru grupacije Canon. Za više informacija posjetite www.milestonesys.com, a više vijesti i saopćenja možete pronaći u sekciju Newsroom.
