Kamerový systém jako kyberbezpečnostní riziko? Jak vám může pomoci VMS

Podle výzkumné společnosti Cybersecurity Ventures by kybernetická kriminalita měla v roce 2024 stát svět ohromujících 9,5 bilionu dolarů. Takové ztráty mohou vést mnoho firem k ukončení podnikání, aniž bereme v úvahu náklady způsobené poškozením pověsti a neplánovanými odstávkami.

Rizika kamerových systémů – liší se podnik od podniku

Kamery, senzory a software pro správu videa (VMS) mohou být atraktivními cíli pro zlomyslné útočníky kvůli datům, která lze zneužít k vydírání nebo k získání důvěrných informací. Hackeři mohou například prodávat záběry z budovy nebo sledovat nasazení personálu. IP kamery lze také použít jako nástroj při rozsáhlých DDoS útocích na cílené webové stránky a infrastrukturu. Ochrana podnikových kamerových systémů se liší podle typu organizace (jiná bude u školy, datového centra nebo solární farmy), a je důležité pochopit, co je potřeba chránit a před kým. Je rovněž důležité přemýšlet o možných škodách, které mohou v případě útoku nastat.

Jedním ze specifik kamerových systémů je jejich umístění na veřejných a zranitelných místech. Organizace často potřebují kamery v rušných oblastech, u vjezdů či vchodů nebo na odlehlých stanovištích, což zvyšuje riziko napadení. Vícevrstvé zabezpečení a oddělení od hlavní IT sítě je proto zásadní – bez odpovídající ochrany může být totiž video monitorovací systém méně bezpečný než klasický IT systém.

Směrnice NIS2 klade vyšší nároky

Ochrana kamerových systémů je ještě důležitější s příchodem evropské směrnice NIS2, která má zvýšit kybernetickou bezpečnost v informačních systémech. NIS2 ovlivní monitorovací instalace v „základních" odvětvích, jako je energetika, doprava, bankovnictví, veřejná správa a digitální infrastruktura. Uživatelé pod NIS2 musí nejen posoudit své systémy, ale také provést komplexní hodnocení rizik v celém dodavatelském řetězci, což je v dnešní propojené síti náročné.

Příkladem může být zranitelnost Log4j, která nedávno postihla miliony počítačů a přímo zasáhla systémy využívající tuto open-source knihovnu. Je pozoruhodné, že několik výrobců softwaru, včetně Milestone Systems, kteří upřednostňují bezpečný design a vyhýbají se jakémukoli použití open source, zůstalo nedotčeno. Směrnice NIS2 také zdůrazňuje riziko fyzických útoků na organizace s digitálními operacemi, což ukazuje důležitost instalace kamer a dalších systémů pro kontrolu přístupu v serverových místnostech a datových centrech. Zároveň s tím musí takové organizace aktivně pracovat na co nejodolnějším zabezpečení jejich video sítě.

Vědět, kdo má za co odpovědnost

Směrnice NIS2 podtrhuje nutnost spolupráce mezi IT a bezpečnostními odděleními při tvorbě kybernetické bezpečnostní strategie. Při implementaci strategie pro kamerový systém budete potřebovat podporu IT týmu, který má zkušenosti s oblastmi jako VPN a VLAN. Pomůže také, když si přesně rozdělíte odpovědnosti za údržbu, audity a penetrační testy systému. Při strategii se zaměřte na následující kroky:

1. Posuďte povahu vašeho podniku a jeho cíle.
2. Identifikujte místní pravidla a předpisy.
3. Určete, kdo je odpovědný za údržbu systému.
4. Zjistěte, kdo monitoruje systém, aby bylo možné identifikovat možné útoky.
5. Zajistěte přiměřenou úroveň přístupu k videu a síti a sledujte fyzický přístup k serverovně VMS pomocí alarmů a kontrolních opatření.

Nezapomeňte na lidský prvek

Závažnou slabinou vaší kybernetické bezpečnosti může být lidský faktor, a proto je důležité správně nastavit školení zaměstnanců. Studie Stanfordské univerzity a firmy Tessian ukázaly, že až 88 až 95 % narušení dat je způsobeno lidským chováním. Jednoduché chyby, jako je opakované používání osobního hesla nebo „naléhavý“ e-mail od manažera požadující podrobnosti o účtu, může snadno podkopat jakoukoli technickou funkci vašeho kybernetického zabezpečení.

Pravidelné školení bezpečnostního týmu vám umožní sdílet informace o aktuálních hrozbách a ochraně systému. Uživatelská kontrola a přidělení přístupových práv pomáhají minimalizovat rizika sdílení hesel a umožňují rychlé odebrání přístupu uživatelům, kteří opustili společnost.

Základní zásady kybernetické bezpečnosti

Aby váš kamerový systém zůstal méně atraktivní pro útočníky, je důležité pravidelně aktualizovat firmware kamer a ovladačů VMS na nejnovější verze. Při instalaci nových zařízení deaktivujte defaultní účet správce kamer a změňte výchozí heslo. Ujistěte se také, že vaše kamery podporují pouze HTTPS.

Nutností je používání silných hesel s kombinací malých a velkých písmen, číslic a speciálních znaků s tím, že se vyvarujete snadno uhodnutelných slov nebo frází. Hesla by neměla obsahovat osobní informace, které by byly dostupné z veřejných profilů uživatelů. Každý uživatel by měl mít svůj vlastní unikátní účet VMS.

Význam vícevrstvého zabezpečení

Incident z roku 2021 nabízí tvrdou lekci o tom, co se může potenciálně pokazit, když nedokážete efektivně zabezpečit své kamerové systémy. Kybernetický útok na poskytovatele systému v USA odhalil videozáznamy ze 150 000 kamer, ale také citlivé finanční informace významných zákazníků. Hackeři získali přístup do systémů poskytovatele pomocí uživatelského jména a hesla, které bylo odhaleno ve veřejné doméně. To ilustruje důležitost správných hesel (pravidelné změny hesel, používání těžko uhodnutelných hesel a školení lidí, aby svá hesla nesdíleli s ostatními).

Více než 100 zaměstnanců mělo v systému poskytovatele oprávnění „super admin“, což jim umožňovalo přístup k záběrům z tisíců kamer zákazníků, které neznali. Nastavení správné úrovně přístupu pro každého uživatele omezuje riziko a potenciální šíření hacku. Jinak řečeno, čím více správců máte, tím více cílů mohou hackeři využít.

A konečně, kromě kamerových záznamů by hackeři mohli také získat přístup k dalším citlivým a zákaznickým informacím. Proto je dobré oddělit video síť od hlavní IT sítě, což lze provést pomocí VPN a VLAN sítí. V případě kompromitace kamer nebo VMS tak hacker nemůže způsobit škody mimo videosystém.

Kyberbezpečnost nikdy nekončí

Navzdory všem výše uvedeným podnětům je třeba počítat s tím, že každý systém bude nějaké zranitelnosti mít, nehledě na to, že se prostor kybernetické bezpečnosti neustále vyvíjí. Když to budete mít na vědomí, pomůže to k větší kontrole a odpovědnosti při používání videa, což výrazně ochrání vaši organizaci.

Autor: Jos Beernink, Vice President EMEA ve společnosti Milestone Systems