EVENT
New Security Magazine 150 – mei 2019
De veiligheid van toegangscontrolesystemen
Toegangscontrole is een efficiënte manier om gebouwen en ruimtes te beschermen. Iedereen kan dan niet zomaar binnen- en buitenwandelen. Maar toegangscontrole is pas echt veilig als ze goed beveiligd is tegen mogelijke indringers en hackers. Dat zetten Nico Wuyts van ARAS Security en Cédric Bassem van NVISO uiteen tijdens New Security.
ARAS Security is een beveiligingsdistributeur met 30 jaar ervaring. Het familiebedrijf met vestigingen in België, Denemarken, Nederland en Turkije levert elektronische beveiligingsproducten en -systemen. Zeg maar een expert in tastbare beveiliging. Dat ARAS Security en NVISO de handen in elkaar slaan voor een ultraveilige toegangscontrole-app is niet echt een verrassing. Beide vullen elkaar mooi aan want NVISO is gespecialiseerd in cybersecurity, het niet-tastbare gedeelte van het IT-beveiligingsluik. Incidenten voorkomen, detecteren en beantwoorden, daar komt het op aan voor de Brusselse firma.
Menselijke factor
Bij het beveiligen van toegangscontrolesystemen speelt de menselijke factor een niet te onderschatten rol. Een doorwinterde belager met malafide bedoelingen kan op een slinkse manier en door een palet emoties uit te spelen vlot private info bekomen. Door phishing via bijvoorbeeld neptelefoongesprekken en -mails. “Dat we van de nep- of afpersmails de bijlagen niet mogen openen en links niet mogen aanklikken, is geen nieuws meer. Maar de meesten weten niet dat ze die mails ook beter rapporteren”, vertelde Nico Wuyts, physical security expert bij ARAS. Dat kan via de overheidsdienst Save on web (verdacht@saveonweb.be). “Iedereen moet goed bewust zijn van de mogelijke gevaren op hacking. En dat bewustzijn moet worden vergroot, eventueel met lessen. Een veiligheidsbeleid voeren op maat van de organisatie is geen overbodige luxe. Ook tests met een simuleerde indringing zijn meer dan nuttig.”
Kaart en controller
Maar ook de veiligheid van de toegangscontrole laat al te vaak te wensen over. 21% van de organisaties gebruikt de ouderwetse sleutel met het risico dat alle sloten moeten worden vervangen bij verlies van een sleutel. 79% van de organisaties heeft een toegangscontrolesysteem met pasjes en tags (codedragers), bekabeld of draadloos. 85% van de organisaties met een toegangscontrolesysteem hanteert (vaak onbewust) een makkelijk te hacken pas- of tagtechnologie. Dan hebben we het over gedateerde en kwetsbare technologieën die een groot risico vormen voor de veiligheid van een organisatie. Daarom zijn de bestaande technologieën in een soort barometer weergegeven volgens de hun graad van veiligheid. Van lage naar hoge veiligheidszekerheid. Van klassieke en goedkopere technologieën over systemen met versleuteling van het dataverkeer naar de recentste systemen met Open Supervised Device Protocol waarbij het verkeer tussen kaartlezer en controller met 128 bits AES-encryptie is beveiligd.
Geconnecteerd via IoT
Het gevaar op hacking schuilt ook in de op het toegangscontrolesysteem geconnecteerde toestellen via onder meer Internet of Things (IoT). “Er zijn heel wat zwakke punten”, gaf Cédric Bassem, cyber security expert bij NVISO, aan. En die vond NVISO ook in het via de cloud werkende Phera-toegangscontrolesysteem voordat ARAS het op de markt werd gebracht. Op vraag van ARAS controleerde NVISO het toestel op zijn hackgevoeligheid. Nadat NVISO alle pijnpunten had gedetecteerd en gemeld, werkte ARAS al die kwetsbaarheden uit zijn web-app weg. En die ervaring deelt ARAS voortaan met de cybersecuritysector.
Door Gianni D’Angelo