VISIE
New Security Magazine 144 – oktober 2017
Wie dicht het gapende gat tussen fysieke beveiliging en cyberbeveiliging?
Edwin Roobol (regional director Middle Europe Axis Communications): “De uitdaging die wij zien is dat het fysieke beveiligingsteam en de IT-afdeling op het eerste gezicht heel verschillende visies en prioriteiten hebben en elkaar vaak niet echt begrijpen. Fysieke beveiliging komt van Mars en de IT-afdeling komt van Venus.”
Het overbruggen van de kloof start bij het hanteren van de terminologie waarmee beide partijen vertrouwd zijn.
Vroeger, toen de cybercriminelen nog puistige tieners waren, waren er twee afgescheiden werelden: cyberbeveiliging enerzijds en fysieke beveiliging (met deuropeners en beveiligingscamera’s) anderzijds. Nu zijn deze werelden lang niet meer zo afgescheiden en is het niet meer zo duidelijk wie waarvoor verantwoordelijk is, met behoorlijk gapende gaten als gevolg. Bovendien zijn de cybercriminelen gehaaide professionals geworden die feilloos aanvoelen waar ze die gaten kunnen vinden. Het gevolg daarvan zagen we eind vorig jaar: een massale botnetaanval van miljoenen geconnecteerde apparaten, waaronder een groot deel netwerkcamera’s. Hoe zorgen we dat dit nooit meer gebeurt?
Lange tijd was fysieke beveiliging een puur analoge aangelegenheid, en er was slechts één verbinding met het IT-netwerk, helemaal aan het uiteinde. De mensen die verantwoordelijk waren voor fysieke beveiliging hoefden zich dus geen zorgen te maken over netwerkbeveiliging, terwijl de IT-afdeling zich niet bezig hoefde te houden met onnodige blootstelling van camera’s enz. Natuurlijk is zelfs het hacken van analoge systemen altijd voorgekomen (denk aan een babyfoon of een garagedeuropener). Maar nu beveiligingssystemen op netwerkbasis de nieuwe norm zijn met alle bijhorende voordelen, moeten beide partijen zich realiseren dat de situatie helemaal anders ligt.
De uitdaging die wij zien, is dat het fysieke beveiligingsteam en de IT-afdeling op het eerste gezicht heel verschillende visies en prioriteiten hebben en elkaar vaak niet echt begrijpen. Fysieke beveiliging komt van Mars en de IT-afdeling komt van Venus. Vaak is het gewoon een kwestie van taal of jargon en begrijpt de ene partij niet waar de andere het over heeft. Maar in veel gevallen kan het ook meer lijken op een grensconflict of een gevecht over de voogdij over een ongewenst kind: het fysieke beveiligingsteam beschouwt cyberbeveiliging niet als onderdeel van hun werk en de IT-afdeling is zich misschien niet eens bewust van de mogelijke kwetsbaarheid van verschillende apparaten die geen duidelijke gebruikers of eigenaars lijken te hebben.
Een zin bleef in mijn hoofd zitten na een gesprek dat ik onlangs met een klant had over cyberbeveiliging: “We zijn niet het Pentagon.” Anders gezegd: “We zijn blij dat Axis over deze dingen nadenkt, en het is interessant enzo, maar we maken ons er op dit moment niet druk over.” En als men niet is aangevallen (of in elk geval niet weet dat men is aangevallen), dan wordt dat antwoord vaak gevolgd door “Cyberbeveiliging is de zaak van de IT-afdeling. Ik hoef er alleen maar voor te zorgen dat dit gebouw veilig is.” Als ik daarentegen met de IT-afdeling praat, blijkt dat men niet altijd op de hoogte is van de potentiële blootstelling van onbeveiligde netwerkcamera’s.
Hoe de kloof overbruggen?
Dus hoe zorgen wij met onze branche dat de manager fysieke beveiliging ook IT-beveiliging serieus neemt? En hoe zorgen we dat het IT-beveiligingsteam kan praten met de collega’s van fysieke beveiliging in een taal die ze begrijpen? Eigenlijk is dat niet zo ingewikkeld. We kunnen best de terminologie gebruiken waar ze allebei vertrouwd mee zijn (zie tabel).
Niet wachten op Mirai
Natuurlijk zijn niet alle organisaties en bedrijven gelijk. Bij sommige organisaties is de communicatie tussen de twee afdelingen zelfs goed en is men zich bewust van de dreigingen die ze gezamenlijk moeten aanpakken. Ik heb ontdekt dat je organisaties grofweg in drie categorieën kunt indelen, afhankelijk van de mate waarin ze begrijpen welke dreigingen er zijn. Bovenaan staan bedrijven waarvan het merk, de activiteiten of de geloofwaardigheid draaien rond vertrouwen en veiligheid, banken bijvoorbeeld. Gemiddeld genomen staat veiligheid hoog op hun prioriteitenlijstje (zowel fysiek als met betrekking tot computers) en maakt ze deel uit van hun bedrijfscultuur. Ze zijn vaak wat afwachtend als het gaat om het aanschaffen van nieuwe technologieën. Dat doen ze pas als ze zeker weten dat hun veiligheid niet in het gedrang komt. Dit geldt vooral voor nieuwe apparatuur die op hun netwerk wordt aangesloten, zoals camera’s, controlesystemen aan toegangspunten enz. Hun IT-afdelingen zullen vermoedelijk pas toestaan dat er nieuwe apparatuur op netwerkbasis wordt aangesloten als duidelijk is waar deze vandaan komt en als deze naar behoren getest en geïnstalleerd is.
Dan heb je bedrijven die wel weten dat ze kwetsbaar kunnen zijn voor cyberaanvallen, maar niet de specifieke kennis in huis hebben om hun risico’s goed te analyseren en te verminderen. Deze bedrijven staan wel open voor advies, ook al heeft dit geen kritieke prioriteit. Dit zijn de bedrijven die waarschijnlijk het grootste risico lopen: hun netwerken zijn zo complex dat het beheer ervan een fulltime baan is, maar ze beschikken niet over voldoende middelen om elk apparaat dat wordt aangesloten goed te controleren.
Tot slot zijn er de meestal kleinere bedrijven die heel weinig verstand hebben van cyberveiligheid en al helemaal niet weten dat je apparaten zoals camera’s goed moet beveiligen voor je ze op een netwerk aansluit. Ze hebben zelden een fulltime IT-manager, laat staan iemand die alleen verantwoordelijk is voor de fysieke beveiliging. Voor deze bedrijven is een zeer eenvoudige, geautomatiseerde installatie ideaal, waarbij één oplossing voor alles van beveiliging zorgt. Zo bieden de Axis Companion camera’s opnameapparatuur, geheugenkaarten en een videobeheersysteem in één pakket.
Uiteindelijk moet het wel zo zijn dat de IT-afdeling en de afdeling fysieke beveiliging het probleem belangrijk genoeg vinden om samen te werken, en dat ze de bal niet bij de ander blijven leggen tot er een aanval plaatsvindt. Maar hoe doe je dat? Helaas heeft deze situatie zich onlangs al een paar keer voorgedaan. Nog maar een paar maanden geleden toonde de Mirai botnetaanval aan hoe kwetsbaar IoT-apparatuur kan zijn, hoe alomtegenwoordig deze apparatuur is: twee redenen om zulke toestellen tot zeer aantrekkelijke doelwitten voor hackers te maken. In de loop van enkele maanden infecteerden cybercriminelen miljoenen apparaten, waaronder netwerkcamera’s, digitale videorecorders, thuisrouters enz. In september 2016 vond een enorme DDoS-aanval (Distributed Denial of Service) plaats op de website van een prominente veiligheidsjournalist, KrebsOnSecurity.com. Een maand later vond de grootste DDoS-aanval in de geschiedenis plaats, en wel op Dyn.com, een van de belangrijkste onderdelen van het Amerikaanse internet. Diensten als Netflix, Spotify en Amazon zijn er afhankelijk van.
Nu zou je terecht kunnen opwerpen dat onze westerse beschaving niet meteen in het gedrang komt als we de nieuwste aflevering van ‘Orange is the New Black’ niet kunnen bekijken. Maar het toont wel aan wat er kan gebeuren met fysieke beveiligingsapparaten die niet goed beschermd zijn tegen een cyberaanval. De meeste geïnfecteerde apparaten hadden makkelijk te raden wachtwoorden die nog nooit gewijzigd waren. Of erger nog: wachtwoorden die helemaal niet konden worden gewijzigd. Of het waren apparaten met ingebouwde ‘achterdeurtjes’ waarlangs de fabrikant tijdens de ontwikkelingsfase gemakkelijker de bugs weg kon halen en die nooit gesloten waren voor de productie. In december 2016 bleken ruim tachtig camera’s van een grote fabrikant achterdeur-accounts te bevatten. Een maand later schreef de Washington Post dat de politie van Washington DC drie dagen lang geen video-opnamen had kunnen maken met hun beveiligingscamera’s omdat 70% van hun opslagapparatuur gehackt was.
Onverdacht is niet per se onbesmet
Dus we weten dat dit niet de laatste keer zal zijn. Op dit moment is het Internet der Dingen een gemakkelijk doelwit, vooral omdat er heel weinig mensen bij betrokken zijn en dus bijna niemand merkt dat er een aanval plaatsgevonden heeft totdat het te laat is. Zoals bleek uit de Mirai botnetaanval, hoeft een aanval niet eens rechtstreeks de host te beïnvloeden. Zo is de kans nog kleiner dat een infectie wordt opgemerkt, tenzij je heel goed oplet. Of anders gezegd: het is niet omdat een toestel zich onverdacht gedraagt, dat het ook onbesmet is.
Door Edwin Roobol Regional Director Middle Europe Axis Communications
“Uiteindelijk moet het zo zijn dat de IT-afdeling en de afdeling fysieke beveiliging het probleem belangrijk genoeg vinden om samen te werken, en dat ze de bal niet bij de ander blijven leggen tot er een aanval plaatsvindt.”
“Het is niet omdat een toestel zich onverdacht gedraagt, dat het ook onbesmet is.”
“Op dit moment is het Internet der Dingen een gemakkelijk doelwit, vooral omdat er heel weinig mensen bij betrokken zijn en dus bijna niemand merkt dat er een aanval plaatsgevonden heeft totdat het te laat is.”