CYBERSECURITY  
New Security Magazine 158 – mei 2021

Cybersecure zijn, of het niet zijn… dat is de vraag!

De afgelopen maanden heeft de wereld verschillende verontrustende incidenten op het gebied van cybersecurity meegemaakt. Gaande van een ‘Solarwinds-aanval’ tot de inbraak op 150.000 beveiligingscamera’s en alles daartussenin. Het afgelopen ‘COVID-19 jaar’ heeft ons laten zien dat het aantal succesvolle cyberaanvallen niet is afgenomen, maar – integendeel – aanzienlijk is toegenomen.

Hikvision is zich als fabrikant van Internet of Things (IoT)-apparaten met een focus op beveiligingscamera’s volledig bewust van deze zorgelijke ontwikkelingen en heeft haar focus op cybersecurity geïntensiveerd. Deze intensivering resulteerde in de oprichting van een Source Code Transparency Center (SCTC) in 2018, de aanstelling van een regionale Director Cybersecurity voor Europa, het Midden-Oosten en Afrika (EMEA) in 2020 en de ontwikkeling van een op maat gemaakte bewustwordingscursus cybersecurity voor de beveiligingsindustrie in 2021.

Cyberaanvallen op beveiligingscamera’s

Het toegenomen aantal cyberaanvallen, met name de laatste waarbij meer dan 150.000 beveiligingscamera’s werden gekraakt, deed de vraag rijzen: waarom hacken mensen beveiligingscamera’s? Naar mijn mening is het antwoord op deze vraag drieledig:

• Omdat het kan!
• Omdat het hackers helpt hun doel te bereiken!
• Omdat het toegang verschaft tot andere netwerken!

Het eerste antwoord “omdat het kan” verwijst naar het feit dat alle IoT-apparaten kwetsbaar zijn, omdat ze bestaan uit hard- en software. Software ontwikkelen zonder bugs in de complexe wereld van vandaag is bijna onmogelijk, iets wat de basis is van Mikko Hypponen’s uitspraak.

Het tweede antwoord verwijst naar het feit dat kwaadwillende hackers in het verleden al hebben laten zien hoe gemakkelijk het is om wereldwijd miljoenen camera’s te hacken en de gecombineerde rekenkracht van deze gehackte apparaten te gebruiken als een Botnet. Dit incident vond plaats in 2016 en staat bekend als het Mirai Botnet. Naast dit voorbeeld zijn er ook andere voorbeelden van hackers die ongeoorloofd toegang kregen tot videobeelden en dit gebruikten om losgeld te krijgen van de eigenaren van deze camera’s.

Het derde antwoord is waarschijnlijk het engste, want in de huidige digitale wereld zijn steeds meer IoT-apparaten met elkaar verbonden. Deze connecties lopen van het internet naar interne IT/computernetwerken en vice versa. Meestal hebben de mensen die verantwoordelijk zijn voor de interne IT/computernetwerken hier geen zicht op en zijn ze zich soms niet eens bewust van het bestaan van verbindingen tussen IoT-apparaten (bijv. beveiligingscamera’s) en hun IT-infrastructuur. Deze ‘blinde vlekken’ vormen een uitstekende ‘deuropener’ voor kwaadwillende hackers.

Hoe krijg je een beveiligingscamera ‘Cyber-secure’?

De dreiging van cyberaanvallen op beveiligingscamera’s is groot in de wereld van vandaag, dus hoe kunnen we succesvolle cyberaanvallen op beveiligingscamera’s voorkomen? Dat is de kernvraag, die moet worden beantwoord.

Naar mijn mening begint het allemaal met bewustwording. Het generieke bewustzijn van de kwetsbaarheid van IoT-apparaten, het generieke bewustzijn van geavanceerde kwaadwillende hackers, maar ook het bewustzijn van cybersecurity binnen de beveiligingsindustrie. Vooral dit laatste is relevant, omdat we hier iets aan kunnen doen. Het bewustzijn van cybersecurity binnen de beveiligingsindustrie vereist in de eerste plaats een samenwerking tussen de belangrijkste belanghebbenden: de klanten (eindgebruikers), de installateurs en de fabrikanten.

“Wanneer een apparaat slim is, is het kwetsbaar” –

Miko Hypponen

In een ecosysteem van beveiligingscamera’s is samenwerking tussen deze belanghebbenden essentieel, omdat zij allemaal invloed hebben op cybersecurity en samen de algehele cybersecurity-volwassenheid van het beveiligingsecosysteem kunnen vergroten of verkleinen.

De klanten (eindgebruikers) kunnen worden gezien als de belangrijkste partij en zij kunnen een bepaalde mate van cybersecurity eisen voor de producten die zij kopen en aanschaffen. Het is belangrijk dat zij zich bewust zijn van de cybersecurity eisen en hun rol in deze projecten begrijpen. Daarnaast is het ook belangrijk dat de klanten zich bewust zijn van het feit dat zij eindverantwoordelijk zijn voor de gegevensverwerking van persoonsgegevens wanneer de beveiligingscamera’s geïnstalleerd en operationeel zijn. Een belangrijk element van deze gegevensverwerkingsplicht is de cybersecurity, zoals vermeld in artikel 5 van de GDPR1.

Een andere belangrijke rol is weggelegd voor de installateurs. Zij installeren de beveiligingscamera’s in een netwerk, dat een sleutelrol speelt in het overkoepelende beveiligingsecosysteem. De installatie in dit netwerk moet op een veilige manier gebeuren en een directe open verbinding met het internet moet worden voorkomen. Als deze installatie niet goed is ontworpen en/of uitgevoerd, kan ongeoorloofde toegang tot het netwerk via een bewakingscamera plaatsvinden. De installateurs moeten zich bewust zijn van cyberveiligheidsrisico’s en moeten de beveiligingscamera daarom installeren met cyberveiligheid in het achterhoofd. Dit vereist een proactieve voorlichtingsrol naar de klanten toe over mogelijke cyberveiligheidsproblemen. Het zou geweldig zijn als installateurs de klant ook zouden kunnen adviseren hoe het netwerk van beveiligingscamera’s kan worden beschermd tegen ongeoorloofde toegang.

Een laatste rol in deze samenwerking is weggelegd voor de fabrikanten van beveiligingscamera’s. Zij zijn verantwoordelijk voor de cybersecurity van hun producten en moeten zich ervan bewust zijn dat de cybersecurity van hun producten als een dwingende voorwaarde voor de klant kan worden beschouwd. Volgens de meeste klanten zijn fabrikanten verantwoordelijk voor de cyberbestendigheid van hun producten tegen kwaadaardige bedreigingen. Om aan deze eis te voldoen, kunnen fabrikanten inderdaad een belangrijke rol spelen door Secure-by-Design te implementeren om hun product zo cyberveilig mogelijk te maken. Secure-by-Design houdt in dat de fabrikant cybersecurity heeft ingebouwd in elk van de fasen van het productieproces. Een goed voorbeeld van Secure-by-Design is te vinden in het Cybersecurity Whitepaper2 van Hikvision.

Een goed begin: Cursus cybersecuritybewustzijn voor beveiligingsprofessionals

Binnen de beveiligingsindustrie wordt cybersecurity van het ecosysteem (de apparaten en het netwerk) met de dag belangrijker. Hoewel de meeste belanghebbenden binnen de beveiligingsindustrie zich hiervan bewust zijn, is er nog steeds een cybersecurity-volwassenheidskloof met sommige van de andere industrieën. Daarom heeft Hikvision besloten een bewustwordingscursus cybersecurity te ontwikkelen voor de beveiligingsindustrie. Deze cursus, speciaal voor de beveiligingsindustrie, heeft als doel om het cybersecuritybewustzijn van de cursisten (installateurs, integrators, klanten, etc.) aanzienlijk te vergroten, wat zal resulteren in meer cyberbestendige beveiligingscameraprojecten en een meer cyberveilige IoT-wereld.

Samenwerking is uiteindelijk cruciaal als we de wereld elke dag weer iets cyberveiliger willen maken!

2 https://www.hikvision.com/nl/support/cybersecurity/whitepapers/