Fysieke security als onderdeel van de IT-netwerkstrategie

Jarenlang draaiden fysieke beveiligingssystemen apart van de IT-afdeling. Videobewakings- en toegangscontrolesystemen draaiden op gesloten netwerken die voornamelijk beheerd werden door facility en fysieke beveiligingsteams. 

Tegenwoordig zijn deze systemen met elkaar verbonden en draaien ze op IP-netwerken, zij aan zij met bedrijfsapplicaties en bedrijfdata. Met andere woorden: ze maken deel uit van het IT-landschap en het aanvalsoppervlak. Ondanks deze verschuiving beschouwen veel IT-teams fysieke beveiliging nog steeds niet als onderdeel van hun verantwoordelijkheid. Helaas levert dat blinde vlekken in de cybersecurity en netwerk visibility op.

Waarom er nog steeds een kloof is

Fysieke beveiliging begon als een operationele functie die gericht was op de bescherming van mensen en eigendommen, terwijl IT zich richtte op het beheer van data en connectiviteit. Naarmate  fysieke beveiligingsapparatuur digitaal werd, werden de systemen samengevoegd.

Maar dat  gebeurde niet met de beide teams.

Veel facility en fysieke security teams schaffen nog steeds onafhankelijk camera’s of toegangscontrolesystemen aan, waarbij IT geen onderdeel is van dat proces. Maar fysieke security teams hebben niet altijd de middelen of expertise om firmware-updates, verlenging van certificaten of netwerksegmentatie uit te voeren. Tegelijkertijd weten IT-teams misschien niet hoeveel beveiligingsapparaten er op hun netwerken zijn aangesloten en welke risico’s deze met zich mee kunnen brengen.

Wanneer wordt fysieke security een cyber probleem 

Fysieke security apparaten zien er niet uit als computers, maar ze werken wel zo. Ze hebben IP-adressen, firmware en inloggegevens die om beveiliging vragen. Als je dat niet doet, creëer je ingangen voor hackers.  

De meest voorkomende zwakke plekken zijn ook die waar IT-professionals al jaren mee te maken hebben: ongewijzigde default wachtwoorden, verouderde software, verlopen certificaten en apparaten die maanden of jarenlang onbewaakt blijven. Als een kwaadwillende bijvoorbeeld één aangesloten camera weet te compromitteren, kan hij zich lateraal door het netwerk verplaatsen en zo mogelijk toegang krijgen tot niet-gerelateerde, gevoelige bedrijfssystemen.

Wanneer fysieke beveiliging op hetzelfde netwerk draait als de bedrijfs-IT zonder dat er sprake is van een goede netwerksegmentatie, neemt het risico aanzienlijk toe.

Het groeiende aanvalsoppervlak 

De implementatie van videobewakings- en toegangscontrolesystemen biedt aanzienlijke voordelen, waaronder gecentraliseerd overzicht en datagestuurde inzichten. Maar elk nieuw apparaat vergroot ook het aanvalsoppervlak.

Elke sensor en camera vormt een nieuw endpoint dat moet worden bewaakt en beveiligd. Zonder duidelijke verantwoordelijkheid of consistent toezicht nemen kwetsbaarheden snel toe.

Daarom moeten IT-afdelingen een actieve rol spelen bij het beveiligen van deze systemen. 

Waar te beginnen: basisprincipes die het verschil maken 

Het goede nieuws is dat je voor het beveiligen van fysieke beveiligingsapparatuur het wiel niet opnieuw hoeft uit te vinden. Veel van de best practices die de IT-afdeling al gebruikt, gelden ook voor fysieke security.

1. Gebruik verschillende wachtwoorden: Vaak gebruiken integrators voor alle camera’s in een systeem hetzelfde wachtwoord, om installatie en onderhoud te vereenvoudigen. Maar als dat ene wachtwoord uitlekt, worden alle camera’s kwetsbaar. Gebruik daarom verschillende wachtwoorden en authenticatie met digitale certificaten of multifactorauthenticatie. 
2. Houd firmware en software up to date: Firmware-updates hebben vaak cruciale beveiligingspatches. Update regelmatig, in plaats van te wachten tot er een incident is.
3. Versleutel communicatie van apparaten: gebruik encryptie zoals HTTPS, voor beveiliging van data tijdens verzending. Niet-versleutelde datastromen kunnen worden onderschept of gemanipuleerd, met name in systemen die gevoelige video- of access data verzenden.
4. Segmenteer het netwerk: Installeer fysieke beveiligingsapparatuur op een eigen virtueel lokaal netwerk (VLAN), gescheiden van de belangrijkste bedrijfssystemen. Op die manier kan een aanvaller, zelfs als er een camera of badge wordt gehackt, niet gemakkelijk toegang krijgen tot kritieke activa.
5. Plan onderhoud en audits regelmatig in: Firmware, certificaten en toegangscredentials moeten op regelmatige basis worden gecontroleerd en bijgewerkt. Door deze stappen in de IT-werkprocessen op te nemen, kunnen kwetsbaarheden worden verminderd. 

Bouw aan samenwerking tussen IT en security teams 

Niemand verwacht dat fysieke security teams ineens ook cybersecurity experts worden, of dat IT van de een op de andere dag de ins en outs van video surveillance kent. Het doel is samen te werken; en dat start met gedeelde zichtbaarheid.  

IT kan helpen inzicht te bieden in welke apparaten verbonden zijn, het kan bestaande kwetsbaarheden identificeren, en tracken hoe de datastromen lopen. Op hun beurt kunnen fysieke beveiligingsteams informatie verstrekken over welke systemen bedrijfskritisch zijn, wanneer het tijd is voor onderhoud en aan welke operationele vereisten moet worden voldaan.

Het partnership tussen IT en fysieke security kan versterkt worden door:  

• Beide teams vroeg in het aankoopproces te betrekken: Cybersecurity teams kunnen de operationele behoeftes vastleggen, terwijl IT input kan leveren over de cybersecurity standaarden.
• Vast te leggen wie verantwoordelijk is voor updates en credentials: IT kan de technische kant van patching en certificaten op zich nemen, terwijl security teams focussen op het monitoren en managen van het fysieke security systeem. 

Zet privacy centraal

Voor het managen van fysieke beveiligingsapparatuur is het belangrijk om systemen te ontwerpen die vanaf het begin veilig, efficiënt en robuust zijn. Zulke systemen hebben specifieke eisen waarvoor traditionele IT-infrastructuur niet altijd is ontworpen. 

• Bandbreedte en latency: Videogebruik is data-intensief en onvoorspelbaar. Bij de netwerkplanning moet rekening worden gehouden met de hoeveelheid bandbreedte die camera’s verbruiken, vooral bij grootschalige implementaties. 
• Opslag: De keuze tussen een lokale, cloud- of hybride implementatie hangt af van de behoeften van de organisatie. Sommige bedrijven bewaren bijvoorbeeld recente beelden op lokale servers voor snelle toegang, terwijl ze oudere video’s in de cloud archiveren om schaalbaarheid te garanderen. Cloudplatforms kunnen updates vereenvoudigen en de noodzaak van on-premises onderhoud verminderen.
• Redundancy: Beveiligingssystemen mogen niet uitvallen. Dankzij redundante links en failover-paths blijven kritieke functies online, zelfs als een netwerksegment uitvalt.
• Privacy en compliance: Regelgeving zoals de GDPR classificeert video als personally identifiable information (PII). Dit betekent dat beeldmateriaal veilig moet worden opgeslagen en maar zo lang als echt nodig is, mag worden bewaard. Organisaties die in meerdere landen actief zijn, moeten hun opslagbeleid bovendien afstemmen op de lokale privacywetgeving.