Ничто, созданное руками человека, никогда не бывает на 100% безопасным: ошибок программирования нельзя в полной мере избежать и процессы, которые полагаются на людей, по своей природе ошибочны. Кибербезопасность — это общая ответственность, никто из участников рынка не может бороться с киберпреступностью в одиночку, и всем нужно работать вместе, чтобы опережать тех, кто преследует преступные намерения. Итак, давайте посмотрим на обязанности заинтересованных сторон, вовлеченных в «цепочку» кибербезопасности, которая настолько сильна, насколько сильно ее самое слабое звено.

Пользователь

Первостепенная задача пользователя (лица, ответственного за запуск решения) — заключается в том, чтобы сделать соответствующие инвестиции в кибербезопасность. Это можно сделать самостоятельно, то есть ИТ-отдел сам исправляет ошибки, или же заплатить интегратору за обслуживание системы безопасности. Срок службы техники легко составляет 10-15 лет. Предположение, что ничего не нужно делать для поддержания комплектов видеонаблюдения и СКУД в надлежащем состоянии в течение этого времени, недальновидно и наивно.

Интегратор

Эта заинтересованная сторона играет весомую роль в кибербезопасности. Интегратор должен убедиться, что IP камеры видеонаблюдения и все его собственные устройства (ноутбуки, смартфон и прочее) оснащены последними обновлениями для ОС и запустить сложный антивирусный сканер.

Выбранные пароли должны быть сложными и персональными, по крайней мере, для каждого пользователя и объекта. Следует избегать общей привычки использовать один мастер-пароль для упрощения обслуживания устройств. Удаленный доступ к установкам должен быть ограничен, а все устройства, подключенные к технологии пользователя, должны быть тщательно проверены на наличие вирусов, чтобы избежать любого вида заражения.

Обслуживание ПО для видеонаблюдения и подключенного оборудования по-прежнему выполняется слишком редко или нечасто. После установки эти системы, как правило, обновляются только в том случае, если добавляются дополнительные устройства или от пользователя запрашиваются дополнительные опции.

Без регулярного обслуживания кибербезопасность со временем снизится. Вероятность того, что уязвимость будет обнаружена в контексте системы, то есть в ОС, программном обеспечении или оборудовании, составляет почти 100%. Несмотря на то, что риск кажется минимальным, все популярные уязвимости должны быть исправлены. В массе случаев немедленное применение исправления не требуется, но настоятельно рекомендуется проводить обновление системы раз в два года.

Интегратор несет ответственность за информирование клиентов об этой процедуре, которая в индустрии безопасности, не связанной с ИТ, все еще не так досконально известно, как следовало бы.

Консультант

Еще одна весомая составляющая — это работа консультантов магазинов безопасности, людей, определяющих компоненты для систем. Консультанты должны не только указать правильные характеристики и свойства продукта, они также несут ответственность за определение технического обслуживания в течение всего срока службы системы. Поступая таким образом, они могут подчеркнуть важность поддержания системы в надлежащем состоянии, а также будут прозрачны в отношении предполагаемых затрат на это. Однако в контексте устанавливаемых устройств OEM и ODM сложно гарантировать этот аспект обслуживания; большинство клиентов не стали бы покупать систему, для которой обслуживание считается азартной игрой.

Дистрибьютор

Для чистого дистрибьютора тема кибербезопасности упрощена: они занимаются логистикой и не касаются самого продукта. Однако дистрибьюторы, внедряющие добавленную стоимость, должны учитывать те же аспекты, что и интеграторы или установщики, как описано выше.

Для тех дистрибьюторов, что также перепродают устройства OEM и ODM, те, которые они покупают у производителя и переименовывают под другим (или собственным) брендом, применяется другой набор правил. Прежде всего, прозрачность считается первостепенным моментом: они должны сообщить клиентам, что покупают. Без такой прозрачности цена зачастую больше всего влияет на решение клиента о покупке.

Они также должны гарантировать поставку обновлений программного обеспечения в случае уязвимостей их исходного поставщика. Привычки отрасли показывают, что обнаруженная уязвимость в устройствах исходных поставщиков, как правило, не исправляется в устройствах многочисленных OEM-партнеров.

Производитель

Обязанности производителя по обеспечению кибербезопасности относительно легко понять:

  • Не включать никаких преднамеренных аспектов, таких как бэкдоры, жестко заданные пароли и прочее;
  • Предоставить необходимые инструменты, чтобы сделать киберуправление устройствами упрощенным и доступным по цене;
  • Рассказать другим о рисках и о том, как их избежать (как внутри компании, так и за ее пределами);
  • Записать соответствующие аспекты в руководствах по усилению защиты или другой документации;
  • Разрешить использование стандартных механизмов сделать устройства безопасными;
  • Сообщить партнерам об уязвимостях и доступных патчах.

Исследователь

Уязвимости часто обнаруживают исследователи, а не хакеры. В зависимости от типа уязвимости эти исследователи решают, что предпринять дальше. Если уязвимость не преднамеренна, они связываются с производителем и дают конкретное время, чтобы исправить уязвимость, прежде чем опубликовать ее. Но если это уязвимость с преднамеренным характером (например, бэкдор), тогда исследователи мгновенно становятся достоянием общества, чтобы повысить осведомленность пользователей об этом продукте.

Потребитель

Наше собственное поведение также считается первостепенным аспектом кибер-зрелого мышления. Как часто мы меняем пароль к IP видеорегистратору? Насколько сложны наши собственные пароли? Применяем ли мы отдельные пароли или один «главный» пароль для большинства приложений и онлайн-сервисов, которые используем? Ленивое поведение пользователей по-прежнему остается весомым преимуществом для хакеров. Легко угадываемые пароли и пароли, которые используются для всех учетных записей, подвергают потребителей риску взлома.

Один человек в одиночку не может выполнить миссию по созданию и поддержанию кибербезопасности охранных датчиков и систем. Только если все заинтересованные стороны возьмут на себя ответственность за безопасность данных, тогда возможно действенно бороться с киберпреступностью.