CYBERSECURITY  
New Security Magazine 159 – juli 2021

Mythes over cybersecurity in de beveiligingsbranche ontkrachten

“Je moet niet alles geloven wat je leest – vooral niet als het onderwerp zo belangrijk is als cybersecurity. Daarom hebben we besloten om een aantal veelvoorkomende mythes over cybersecurity te ontkrachten – zodat u fabrikanten van apparatuur kunt kiezen op basis van harde feiten, niet op basis van percepties,” zegt Fred Streefland, Director Cybersecurity bij Hikvision EMEA.

Tegenwoordig kan iedereen zijn standpunten, meningen en versies van ‘de waarheid’ op sociale media en andere online platforms plaatsen. Tegelijkertijd sluiten mediabedrijven zich steeds meer aan bij andere belanghebbenden en standpunten, waardoor hun berichtgeving over mensen en gebeurtenissen een bepaalde vooringenomenheid vertoont.

Een vaak gehoorde stelling is dat we nu in een post-feitelijk tijdperk leven, waarin “mensen eerder geneigd zijn een argument te aanvaarden dat gebaseerd is op hun emoties en overtuigingen, dan een argument dat gebaseerd is op feiten”.

Maar dit is geen les in sociologie – dit is een blog over cybersecurity. En dat betekent dat dit een kans is om na te denken over de impact van verkeerde informatie en ‘nepnieuws’ op onze sector.

Laten we daarom eens nader kijken naar enkele veelvoorkomende mythes over cybersecurity die eerder door emotionele reacties dan door feiten worden aangedreven, en hoe deze verwarrend en in sommige gevallen zelfs gevaarlijk zijn.

Drie veelvoorkomende mythes over cybersecurity ontkrachten

Mythe 1: Kwetsbaarheden in de beveiliging zijn hetzelfde als ‘backdoors’

Telkens wanneer er een beveiligingslek wordt ontdekt in een camera of een ander op een netwerk aangesloten product, noemen de media het graag een ‘achterdeur’.

Kwetsbaarheden en backdoors zijn echter twee totaal verschillende dingen.

Kwetsbaarheden kunnen in elk computersysteem voorkomen en dus ook in elk apparaat dat op een netwerk is aangesloten, zoals een beveiligingscamera die zowel hardware als software bevat. Kwetsbaarheden zijn in feite onvermijdelijk en komen per ongeluk voor, waarbij uit onderzoek blijkt dat zelfs de best geprogrammeerde en geteste software nog steeds 2 tot 3 bugs bevat op elke 1.000 regels code.

Ondanks dit feit minimaliseren veiligheidsbewuste fabrikanten van apparatuur waar mogelijk kwetsbaarheden door gebruik te maken van “secure-by-design” productieprocessen. Als je bedenkt dat sommige bedrijfsapplicaties (bijv. beveiligingscamera’s) uit enkele miljoenen regels code bestaan, en moderne auto’s zelfs meer dan 100 miljoen regels code kunnen bevatten, realiseer je je snel genoeg waarom kwetsbaarheden vrijwel onvermijdelijk zijn.

Backdoors daarentegen zijn achterdeuren in de beveiliging die opzettelijk aan de software van een apparaat worden toegevoegd met de bedoeling fabrikanten of anderen toegang te verschaffen tot apparaten en de gegevens die erop zijn opgeslagen. Deze backdoors zijn een ongedocumenteerde manier van toegang krijgen tot een computersysteem en worden meestal gecreëerd tijdens het productieproces. Als een backdoor na het productieproces niet wordt verwijderd, vormt het een potentieel veiligheidsrisico.

Mythe 2: Fabrikanten voegen backdoors toe aan producten om zakelijke redenen

Ook dit is een gemakkelijk te ontkrachten mythe, vooral omdat fabrikanten van apparatuur die backdoors aan hun producten toevoegen, absoluut alles te verliezen hebben.

De geschiedenis heeft immers uitgewezen dat de waarheid van ophefmakende bedrijfsschandalen en datalekken altijd aan het licht komt. Als bovendien blijkt dat een bedrijf opzettelijk een achterdeur in een product heeft ingebouwd, worden zijn reputatie en zaken vrijwel van de ene dag op de andere teniet gedaan.

Dit betekent dat alle bedrijven, en vooral grote bedrijven die over hun eigen intellectuele eigendom en R&D-mogelijkheden beschikken, een reeks controles en tegenwichten hebben om ervoor te zorgen dat nooit opzettelijk een achterdeur aan een product wordt toegevoegd. Dit is vooral het geval in de beveiligingsindustrie, waar van fabrikanten wordt verwacht dat zij de gegevens en activiteiten van klanten 24x7x365 beschermen.

Mythe 3: Camerafabrikanten verwerken videobeelden om ongeoorloofde redenen

Deze laatste mythe is het gemakkelijkst te weerleggen, omdat deze ‘ongeoorloofde redenen’ (zoals spionage) gewoon niet mogelijk zijn. Zodra beveiligingsapparaten zoals camera’s in klantnetwerken zijn geïnstalleerd, zijn ze qua beveiliging effectief ‘omheind’, meestal geplaatst in een stand-alone netwerk, en vaak beschermd door firewalls en andere beveiligingsapparaten. Zelfs als de eindgebruiker besluit de gegevens van deze apparaten in een cloud op te slaan, hebben cloudproviders beveiligde Service License Agreements (SLA’s) die de gegevens privé houden en ervoor zorgen dat externe bedrijven, zoals fabrikanten van apparaten, er geen toegang toe kunnen krijgen.

De belangrijkste reden om deze mythe te ontkrachten is het feit dat de eindgebruikers die deze camera’s kopen, verantwoordelijk zijn voor de gegevens/videobeelden die zij genereren. Zij zijn, met andere woorden, de gegevensbewaarders die de gegevens verwerken en verantwoordelijk zijn voor de videobeelden, zoals beschreven in de GDPR. De camerafabrikant is de leverancier van het apparaat (bv. hardware en software) en heeft geen enkele intentie of belang om de gegevensbeelden te behandelen/verwerken. Daarnaast is geheime toegang tot videobeelden op deze apparaten onmogelijk zonder toestemming van de eindgebruiker.

Als men bedenkt dat zelfs apparaten met backdoors niet kunnen worden gebruikt om bedrijven, personen of landen te bespioneren, valt deze laatste mythe uiteen. Het is duidelijk dat de ingebouwde beveiligingsvoorzieningen in apparaten, netwerken en datacentra – in combinatie met de verantwoordelijkheid van de eindgebruikers voor de bescherming van hun gegevens – spionage en ander misbruik van backdoors letterlijk onmogelijk maken.