CYBERSECURITY  
New Security Magazine 162 – juni 2022

IoT Cybersecurity; kijk dan verder dan de krantenkoppen!

Introductie

Het is tegenwoordig relatief eenvoudig om berichten te vinden over cybersecurity kwetsbaarheden in IoT (Internet of Things) apparaten, zoals bijvoorbeeld beveiligingscamera’s. Als u een krant open slaat – of op een ‘nieuws-app’ klikt – dan is er waarschijnlijk genoeg informatie te vinden over de beveiliging van IoT-apparaten, variërend van software kwetsbaarheden tot en met privacy schendingen en alles wat er tussen ligt.

Beveiligingscamera’s zijn IoT-apparaten en IoT-apparaten zijn computers die gebruik maken van software, hetgeen hen kwetsbaar maakt. Zoals de beroemde cybersecurity evangelist Mikko Hyponnen in ‘De Wet van Hyponnen’ definieert: “If a device is smart, it’s vulnerable!”

Hypponen heeft gelijk. Iedere dag worden er nieuwe computerkwetsbaarheden (vulnerabilities) ontdekt in software, ongeacht de maker van deze software. In 2021, werden er meer dan 17.000 computerkwetsbaarheden wereldwijd publiekelijk gemaakt en officieel gerapporteerd als CVE (Common Vulnerability and Exposure) in de NVD (National Vulnerability Database)1.

Kwetsbaarheden zijn een gegeven en zijn simpelweg moeilijk te voorkomen, daar is helaas weinig aan te veranderen. Wat daadwerkelijk ertoe doet, is hoe een organisatie omgaat met deze kwetsbaarheden en deze kwetsbaarheden vervolgens oplost.

Bewustwording van cybersecurity kwetsbaarheden is essentieel voor de eigen IT-infrastructuur, alsook voor de beveiliging van de business/IoT-apparaten. Het is belangrijk om te begrijpen dat een ‘vulnerability’ niet hetzelfde is als een ‘backdoor’ en ook niet alleen bij IoT-apparaten van ‘goedkope kwaliteit’ voorkomt, maar hierover later meer.

Deze blog heeft tot doel de publieke kennis over de cybersecurity van IoT-apparaten in het algemeen en voor beveiligingscamera’s in het bijzonder, te vergroten. Daarnaast wordt ook toegelicht hoe verantwoordelijke producenten van IoT-apparaten hun producten zo cybersecure mogelijk kunnen maken.

‘Security-by-Design’

Beveiligingscamera’s zijn – net zoals alle andere IoT-apparaten – kwetsbaar voor cyber aanvallen. Echter, producenten van IoT-apparaten kunnen de kans op kwetsbaarheden minimaliseren door, gedurende het productie proces, gebruik te maken van “Security-by-Design”.

Hikvision is een producent van IoT-apparaten die cybersecurity en privacy zeer serieus neemt en een ‘Security-by-Design’ aanpak heeft toegepast in al haar productieprocessen. Dit wordt de HSDLC (Hikvision Security Development Life Cycle) genoemd en is een essentieel onderdeel van het totale cybersecurity programma van Hikvision. ‘Security-by-Design’ is een aanpak, waarbij cybersecurity wordt geïmplementeerd tijdens iedere fase van het productieproces. Voorbeelden hiervan zijn het toepassen van security requirements tijdens de conceptfase en het ‘pen-testen’ van de software code door een externe partij tijdens de verificatiefase.

Betekent dit dat alle Hikvision producten immuun zijn voor cyber aanvallen? Nee, die garantie kan geen enkel bedrijf geven, maar de toepassing van de HSDLC is wel een ‘testament’ dat Hikvision er alles aan doet om de IoT-apparaten zo cybersecure mogelijk te produceren.

Een implementatie van ‘Security-by-Design’ vereist vooral draagvlak van het management (‘The Board of Directors’), maar ook een serieuze investering in mensen en middelen, hetgeen kan leiden tot een langer productieproces en hogere kosten per IoT-apparaat. Het zijn vooral deze hogere kosten, die deze aanpak met zich meebrengt, waarom verschillende producenten afzien van ‘Security-by-Design’ (en denken goedkoper te zijn).

Het management van Hikvision heeft – ondanks de hogere productiekosten – toch gekozen voor de HSDLC omdat voorkomen beter is dan genezen. Het is zich bewust dat ‘Security-by-Design’ een investering is, die zichzelf op de lange termijn terugbetaalt. Het oplossen van beveiligingsproblemen achteraf (als het product gereed is) kost namelijk veel meer tijd en moeite (en is dus uiteindelijk duurder). Naast het kostenaspect is het ook eenvoudiger om problemen, vooral in de ontwikkelingsfase, tijdens het proces op te lossen, dan op het moment als het product gereed is en wordt geleverd aan de klant.

Vulnerability Management & Compliance

Naast het hierboven beschreven ‘Security-by-Design’ proces, heeft Hikvision in 2018 - als eerste beveiligingscameraproducent ter wereld – het Source Code Transparency Center (SCTC) laboratorium in Californië geopend. In dit centrum kunnen Amerikaanse, Canadese en Europese regeringsmedewerkers de broncode van Hikvision IoT-apparaten zoals IP-camera’s en Network Video Recorders (NVR) bekijken en evalueren.

Ondanks het feit dat een HSDLC-programma en het SCTC-laboratorium bijdragen aan de cybersecurity van producten, is het belangrijk nogmaals te benadrukken dat geen enkel IoT-apparaat 100% secure is. Hikvision is zich hiervan bewust en heeft als gevolg hiervan een Vulnerability Management Program opgezet. Tot op de dag van vandaag zijn alle kwetsbaarheden die aan Hikvision zijn gemeld of zijn ontdekt door Hikvision zelf, openbaar gemaakt en opgelost middels patches (software updates), welke te vinden zijn op de website van Hikvision. Dit is een standaard procedure voor Hikvision, want Hikvision is een Common Vulnerabilities & Exposures (CVE) Numbering Agency (CVE CNA). Dit betekent dat het zich heeft toegelegd op het continu samenwerken met 3rd party white-hat hackers, pen-testers en onderzoekers met als doel om computerkwetsbaarheden tijdig te vinden, op te lossen en te publiceren. Deze publicaties worden verzameld in de National Vulnerability Database (NVD) en zijn openbaar.

In de afgelopen jaren heeft Hikvision verscheidene internationale certificeringen behaald en is op verschillende standaarden gecertificeerd. Voorbeelden hiervan zijn enkele ETSI-standaarden en het FIPS 140-2 certificaat van het U.S. Department of Commerce’s National Institute of Standards and Technology (NIST). Daarnaast heeft Hikvision de volgende certificeringen: ISO 27001, ISO 9001:2013, CMMI Level 5, AICPA SOC, ISO 28000:2007 en de ‘Common Criteria’ certificering met betrekking tot information security.

Privacy

Cybersecurity is essentieel, maar dit kan niet los worden gezien van privacy. Hikvision respecteert privacy en begrijpt als geen ander dat het – als wereldwijde producent van beveiligingscamera’s – niet meer dan normaal is om zich te houden aan de geldende privacy wet- en regelgevingen.

Meestal zijn het de gebruikers van de IoT-apparaten (lees: camera’s) die uiteindelijk verantwoordelijk zijn voor de privacy aspecten, omdat zij de (persoonlijke) data verwerken. Deze gebruikers worden dan ook gedefinieerd als ‘Data Processor’. Ondanks het feit dat Hikvision ‘slechts’ de producent is van de IoT-apparaten en in principe geen persoonlijke data in haar IoT-apparaten verwerkt, is het wel van mening dat het kan bijdragen aan de privacy door zich te verbinden aan het ‘Privacy-by-Default’ principe. Dit betekent dat het aspect ‘privacy’ in alle fasen van het productieproces wordt meegenomen (vergelijkbaar met ‘Security-by-Design’).

Vanzelfsprekend dient Hikvision als bedrijf ook zelf te voldoen aan de geldende wet- en regelgeving (GDPR) bij het verwerken van administratieve (persoonlijke) data van bijvoorbeeld klanten. In alle fasen van deze dataverwerking wordt het aspect ‘privacy’ meegenomen en de (persoonlijke) data wordt dan ook zo zorgvuldig en veilig mogelijk verwerkt in de systemen.

Conclusie & aanbevelingen

De cybersecurity van IoT-apparaten is een zeer serieuze aangelegenheid, welke aan het begin van het productieproces moet worden geadresseerd en vervolgens in alle fasen van productie moet worden toegepast. Dit heet ‘Security-by-Design’ en vereist volledige toewijding van het management, een toegewijd cybersecurity team en serieuze investeringen. Helaas hebben niet alle IoT-producenten hun organisatie en productie dusdanig ingericht, met als gevolg de grote hoeveelheid negatieve publiciteit in de de media over de cybersecurity van IoT-apparaten.

Gelukkig zijn er wel enkele IoT-producenten die dit wel serieus nemen en er alles aan doen om de IoT-apparaten zo ‘cybersecure’ mogelijk te maken. Deze cybersecurity is niet alleen afhankelijk van de IoT-producenten, de gebruikers spelen hier ook een belangrijke rol. Vooral door zichzelf te informeren over IoT-cybersecurity en kritische vragen te stellen aan zichzelf en aan de IoT-producenten.

- Vertrouw ik de producent van de beveiligingscamera, die slechts enkele euro’s kost?

- Heeft deze producent een cybersecurity organisatie/team?

- Hoe behandelt deze producent kwetsbaarheden?

Zoals hierboven is aangegeven, is Hikvision een IoT-producent die cybersecurity en privacy wel heel serieus neemt. Zij volgt ‘best practices’ op het gebied van cybersecurity en respecteert de geldende wet- en regelgeving met als doel de cybersecurity van haar producten te waarborgen. De vorming van een speciale cybersecurity organisatie, de implementatie van de HSDLC, de opening van het SCTC, de CNA status de verschillende compliance standaarden en certificeringen zijn enkele voorbeelden die aangeven hoe serieus Hikvision cybersecurity & privacy neemt.

Helaas is 100% veiligheid nooit te garanderen, maar Hikvision doet er alles voor om haar IoT-producten zo veilig mogelijk te produceren en zo veilig mogelijk te opereren. Echter, zoals eerder is aangegeven, is de samenwerking met klanten, installateurs, distributiepartners en andere betrokkenen cruciaal voor de uiteindelijke cybersecurity van IoT-apparaten.

Dus……als u een volgende keer cybersecurity nieuws leest, dan hoop ik dat u verder leest dan de krantenkoppen en u zich bewust bent dat er meer ‘onder de motorkap’ plaatsvindt bij bepaalde producenten van IoT-apparaten.

Als u in de toekomst van plan bent om een beveiligingscamera of ander IoT-apparaat aan te schaffen, dan raad ik u aan om de hierboven gestelde vragen te stellen aan de producent en vervolgens uw keuze te beargumenteren met feiten in plaats van met vooroordelen en/of alleen de krantenkoppen!

Fred Streefland

Director Cybersecurity / CISO

EMEA

1 Source: MITRE corporation CVE website