Physische Sicherheit gewährleisten: Kritische Rolle der Cybersicherheit für Ruhe und Schutz

Das Zeitalter vernetzter Geräte verspricht viel: Durch Kombination digitaler Daten aus zuvor unverbundenen analogen Systemen können wir neue Insights und Innovationen liefern, um Effizienz und Sicherheit in Heim und Arbeitsplatz zu verbessern. Die erste Regel der Innovation muss jedoch lauten: „Keinen Schaden anrichten“ – im Fall von Internet of Things (IoT) bedeutet das, Cybersicherheits-Grundlagen zuerst richtig zu machen.

Der Schwung verschiebt sich rasant in Videüberwachung und physischer Sicherheit. Während der Weg in die Cloud langsamer war als in anderen Sektoren, werden zunehmend CCTV, Zutrittskontrolle und Audiosysteme netzwerkverbunden – somit in IT-Netze und -Prozesse integriert, um intelligentere physische Schutz zu liefern.

Dieser Cloud-Move schafft aber auch viele neue Geschäftschancen. Echtzeit-Videodaten von netzwerkverbundenen Kameras können mit Infos aus anderen Systemen kombiniert werden, um neue Business-Value-Quellen via Cloud-Analytics zu entwickeln.

Beispiel: Einzelhandelsgeschäfte nutzen netzwerkverbundene Überwachungskameras gegen Ladendiebstahl. Denselben Kameras an Cloud-Analytics-Suite angeschlossen geben Filialleitern Möglichkeit, Warteschlangenaufbau automatisch zu erkennen und Alerts zu generieren, oder Kundenfluss im Laden besser zu verstehen.

Das allgegenwärtige Risiko vernetzter Systeme

Aber wenn Unternehmen vor vernetzten Kameras warnen, haben sie Grund. Der weltweit größte DDoS-Angriff (Distributed Denial of Service), der Ende 2016 beliebte Internetanwendungen wie Dropbox, Netflix, Uber u. a. lahmlegte, wurde teilweise von Hunderttausenden kompromittierten Netzwerk-Überwachungskameras gestartet. Die Mirai-Malware übernahm Kontrolle über vernetzte Geräte durch Testen gängiger Default-Benutzername/Passwort-Kombinationen wie admin:admin.

Zweieinhalb Jahre nach diesen Großvorfällen ist es immer noch so: Zu viele professionelle physische Sicherheitsprodukte werden mit wenig bis keiner Berücksichtigung von Cybersicherheits-Best-Practices verkauft und bestehen grundlegende Überprüfungstests wie Default-Credentials nicht. Fokus bleibt auf Time-to-Market und Kostensenkung. Nicht genug Augenmerk auf Qualitätskontrolle, „Secure by Design“ Produktentwicklung und effektive Prozesse für Post-Sale-Support mit Firmware-Updates und Asset-Control.

Dies untergräbt kritisch das Potenzial dieser Geräte. Wenn das Versprechen von IoT in physischer Sicherheit eine bessere, sicherere Welt ist, kann es nicht erreicht werden, wenn Geräte neue Schwachstellen in Kundennetze einbringen.

OEMs müssen großen Aufwand betreiben, um Geräte fit-for-purpose und vertrauenswürdig für Innovation zu machen. Erfordert Investition in Skills und Prozesse intern, klare Kommunikation und Transparenz entlang der gesamten Supply Chain. Erfüllt jede Komponente die strengen Standards, die Kunden zu Recht erwarten?

Genauso wichtig: Investition in Endnutzer-Aufklärung. Markt ist hochpreissensibel, Kunden brauchen klare Guidance, um Risiken beim Kauf von Equipment unbekannter Vendoren, das nicht korrekt konfiguriert ist, zu verstehen.

Und darüber hinaus muss Awareness über IT-Abteilung hinaus getrieben werden. Jeder in Organisation muss Wichtigkeit korrekter Beschaffungsprozesse verstehen, da fallende Kosten und Simplizität moderner IoT-Geräte sie schwer kontrollierbar machen. CIO mag beste Strategie haben, aber wenn Business Manager Equipment per Kreditkarte kauft und ins Corporate Network hängt – wer ist verantwortlich für Produktsicherheit?

Regulierungen haben Bewusstsein erhöht

Dennoch werden Unternehmen sich der Cybersicherheitsrisiken netzwerkverbundener Geräte bewusster, 2018 sah viel regulatorischen Wandel zur Bedrohungsabwehr. GDPR (DSGVO) trat in Kraft, ebenso die NIS-Richtlinie (Richtlinie zur Sicherheit von Netz- und Informationssystemen).

Beide verhängen gleiche substanzielle finanzielle Strafen bei Nichteinhaltung. Hohe Geldbußen können Unternehmen handlungsunfähig machen – imperativ, dass betroffene Unternehmen Due Diligence bei Einhaltung betreiben.

Wir haben bereits GDPR-Strafen bei UK/EU im Zusammenhang mit CCTV-Deployment gesehen. Kürzlich wurde berichtet, dass Hacker in UK in Schul-CCTV-Systeme eindrangen und Live-Aufnahmen von Schülern ins Internet streamten. Verständlicherweise negative Publicity – wir schicken Kinder in Schule mit Erwartung auf Sicherheit, und Sicherheitssysteme sollen schützen, nicht gefährden.

Richtige Technologiepartner wählen ist kritisch

In unserer konvergierenden Sicherheitslandschaft war Auswahl des richtigen Technologiepartners nie so wichtig. Sicherheitspraktiker müssen anerkennen, dass Cybersicherheit nicht nur IT-Thema ist, und die verbundenen Cybersicherheitsrisiken fürs Business verstehen, die mit Deployment physischer und elektronischer Sicherheitssysteme einhergehen. Während Digitalisierung physischer Sicherheit ein enorm spannender Raum ist, muss die Branche Cybersicherheitsfragen besser und bald adressieren, damit es weitergeht.