CYBERSECURITY
New Security Magazine 158 – mai 2021
Etre, ou ne pas être «cyber-sécurisé»… telle est la question!
Au cours des derniers mois, le monde a connu plusieurs incidents de cybersécurité. Allant d’une « attaque Solarwinds » à la violation publique de 150 000 caméras de sécurité et bien d’autres. La dernière « année COVID-19 » nous a montré que le nombre de cyber-attaques réussies n’a pas diminué, mais au contraire augmenté de manière significative.
Hikvision, en tant que fabricant d’appareils Internet des objets (IoT) axé sur les caméras de sécurité, en est pleinement conscient et a intensifié sa concentration sur la cybersécurité. Cette intensification s’est traduite par la création d’un Centre de transparence du code source (SCTC) en 2018, la nomination d’un directeur régional de la cybersécurité pour l’Europe, le Moyen-Orient et l’Afrique (EMEA) en 2020 et le développement d’un cours de sensibilisation de cybersécurité personnalisé pour l’industrie de la sécurité en 2021.
Attaques de cybersécurité contre les caméras de sécurité
L’augmentation du nombre de cyber-attaques, en particulier la dernière dans laquelle plus de 150 000 caméras de sécurité ont été violées, a soulevé la question suivante : pourquoi les gens piratent-ils les caméras de sécurité? À mon avis, la réponse à cette question est triple:
- Parce qu’ils le peuvent!
- Parce cela aide les hackers à atteindre leur objectif!
- Parce cela donne accès à d’autres réseaux!
La première réponse « parce qu’ils peuvent » fait référence au fait que tous les appareils IoT sont vulnérables, car ils sont constitués de matériel et de logiciels. Développer des logiciels sans bugs dans le monde complexe d’aujourd’hui est presque impossible, ce qui est à la base de la déclaration de Mikko Hypponen.
La deuxième réponse fait référence au fait que des pirates malveillants ont déjà montré dans le passé la facilité de pirater des millions de caméras dans le monde et d’utiliser la puissance de calcul combinée de ces appareils piratés comme un botnet. Cet incident a eu lieu en 2016 et est connu sous le nom de Mirai Botnet. Outre cet exemple, il existe également d’autres exemples de pirates informatiques qui ont obtenu un accès non autorisé à des séquences vidéo et l’ont utilisé pour obtenir une rançon des propriétaires de ces caméras.
La troisième réponse est probablement la plus effrayante, car dans le monde numérique d’aujourd’hui, de plus en plus d’appareils IoT sont interconnectés. Ces interconnexions vont d’Internet aux réseaux informatiques / informatiques internes et vice versa. La plupart du temps, les personnes responsables des réseaux informatiques / informatiques internes manquent de visibilité et ne sont parfois même pas au courant de l’existence de connexions entre les appareils IoT (par exemple, les caméras de sécurité) et leur infrastructure informatique. Ces « angles morts » constituent un excellent levier d’accès pour les pirates malveillants.
Comment obtenir une caméra de sécurité « cyber-sécurisée »?
La menace des cyberattaques contre les caméras de sécurité est imminente dans le monde d’aujourd’hui, comment pouvons-nous empêcher les cyberattaques réussies contre les caméras de sécurité? C’est la question centrale à laquelle il nous faut répondre.
À mon avis, tout commence par la prise de conscience. La prise de conscience générique de la vulnérabilité des appareils IoT, la prise de conscience générique de la sophistication des pirates malveillants, mais aussi la prise de conscience de la cybersécurité au sein de l’industrie de la sécurité. Surtout, ce dernier est pertinent, car nous pouvons faire quelque chose à ce sujet. La sensibilisation à la cybersécurité au sein de l’industrie de la sécurité demande une coopération entre les principales parties prenantes: les clients (utilisateurs finaux), les installateurs et les fabricants.
Chaque fois qu’un appareil est intelligent, il est vulnérable -
Mikko Hypponen
Dans un écosystème de caméras de sécurité, la coopération entre ces parties prenantes est essentielle, car toutes ont une influence sur la cybersécurité et peuvent augmenter ou diminuer la maturité globale de cybersécurité de l’écosystème de sécurité.
Les clients peuvent être considérés comme les principaux clients et ils peuvent exiger un certain degré de cybersécurité sur les produits qu’ils achètent et acquièrent. Il est important qu’ils connaissent les exigences de cybersécurité et comprennent leur rôle dans ces projets. En outre, il est également important que les clients soient conscients du fait qu’ils sont responsables en fin de compte du traitement des données personnelles lorsque les caméras de sécurité sont installées et opérationnelles. Un élément important de cette obligation de traitement des données est la cybersécurité, comme indiqué à l’article 5 du RGPD1.
Un autre rôle important à jouer concerne les installateurs. Ils installent les caméras de sécurité dans un réseau, ce qui joue un rôle clé dans l’écosystème de sécurité global. L’installation dans ce réseau doit être effectuée de manière sécurisée et une connexion ouverte directe avec Internet doit être empêchée. Si cette installation n’est pas correctement conçue et / ou exécutée, un accès non autorisé au réseau via une caméra de sécurité peut se produire. Les installateurs doivent être conscients des menaces de cybersécurité et doivent donc installer la caméra de sécurité en tenant compte de la cybersécurité. Cela nécessite un rôle d’information proactif envers les clients sur les problèmes potentiels de cybersécurité. Ce serait formidable si les installateurs pouvaient également être en mesure de conseiller le client sur la manière de protéger le réseau de caméras de sécurité contre tout accès non autorisé.
Un dernier rôle dans cette coopération est réservé aux fabricants de caméras de sécurité. Ils sont responsables de la cybersécurité des produits et doivent être conscients que la cybersécurité de leurs produits peut être perçue comme un pré-requis obligatoire pour le client. Selon la plupart des clients, les fabricants sont responsables de la cyber-résilience de leurs produits contre les menaces malveillantes. Pour répondre à cette exigence, les industriels peuvent en effet jouer un rôle important à cet égard en mettant en œuvre Secure-by-Design pour rendre leur produit aussi cyber-sécurisé que possible. Secure-by-Design signifie que le fabricant a intégré la cybersécurité dans chacune des phases du processus de production. Un bon exemple de Secure-by-Design peut être trouvé dans le whitepaper sur la cybersécurité des produits de Hikvision2. [A1]
Un bon début: Cours de sensibilisation à la cybersécurité pour les professionnels de la sécurité
Dans le secteur de la sécurité, la cybersécurité de l’écosystème (les appareils et le réseau) devient de plus en plus importante chaque jour. Bien que la plupart des parties prenantes du secteur de la sécurité en soient conscientes, il existe toujours un écart de maturité en matière de cybersécurité avec certaines autres industries. C’est la raison pour laquelle Hikvision a décidé de développer un cours de sensibilisation à la cybersécurité pour l’industrie de la sécurité. Ce cours, dédié à l’industrie de la sécurité, a pour objectif d’accroître considérablement la sensibilisation à la cybersécurité des participants (installateurs, intégrateurs, clients, etc.), ce qui se traduira par des projets de caméras de sécurité plus cyber-résilients et un monde de l’IoT plus cyber-sécurisé.
En fin de compte, nous devons le faire ensemble si nous voulons rendre le monde plus cyber-sécurisé chaque jour!