Garantindo Segurança Física: O Papel Crítico da Cibersegurança para Tranquilidade

A era de dispositivos conectados promete muitas coisas: combinando dados digitais de sistemas analógicos anteriormente desconectados, podemos entregar novos insights e inovações para melhorar eficiência e segurança em nossas casas e locais de trabalho. A primeira regra da inovação, no entanto, deve ser "não fazer mal", que no caso da Internet das Coisas (IoT) significa acertar o básico de cibersegurança primeiro.

O ímpeto está mudando rapidamente nos campos de videovigilância e segurança física. Embora a jornada para a nuvem tenha sido mais lenta que em outros setores, cada vez mais CCTV, controle de acesso e sistemas de áudio estão se tornando conectados à rede, e portanto integrados em redes e processos de TI para entregar proteção física mais inteligente.

Mas essa mudança para a nuvem também cria muitas mais oportunidades de negócios. Dados de vídeo em tempo real de câmeras de vigilância conectadas à rede, por exemplo, podem ser combinados com informações de outros sistemas para desenvolver novas fontes de valor de negócios via analytics na nuvem.

Isso pode ser visto em lojas de varejo, que comumente implantam câmeras de vigilância em rede para prevenir ou identificar furtos. Conectar essas mesmas câmeras a uma suíte de analytics na nuvem também pode dar aos gerentes de varejo a capacidade de detectar automaticamente formação de filas e gerar alertas, ou obter melhor compreensão do fluxo de tráfego ao redor de uma loja.

O risco sempre presente de sistemas conectados

Mas se empresas estão cautelosas com câmeras conectadas, têm boas razões para estar. O maior ataque de Negação de Serviço Distribuída (DDoS) do mundo, que desabilitou muitos aplicativos populares de internet como Dropbox, Netflix, Uber e mais no final de 2016, foi lançado em parte a partir de centenas de milhares de câmeras de vigilância em rede comprometidas. O malware Mirai que direcionou o ataque assumiu controle de dispositivos em rede testando combinações comuns de nome de usuário e senha padrão, como admin:admin.

Dois anos e meio após esses incidentes maiores, ainda é o caso de que muitos produtos de segurança física de nível profissional estão sendo vendidos com pouca ou nenhuma consideração para as melhores práticas de cibersegurança, e ainda falhando em testes básicos de supervisão como credenciais padrão. A ênfase permanece em velocidade para o mercado e redução de custos. Não há atenção suficiente dada a controle de qualidade, desenvolvimento de produto "secure by design" e processos eficazes para suporte pós-venda com atualizações de firmware e controle de ativos.

Isso mina criticamente o potencial desses dispositivos de entregar. Se a promessa de IoT em segurança física é a de um mundo melhor e mais seguro, não pode ser alcançada se equipamentos são propensos a introduzir novas vulnerabilidades na rede de um cliente.

OEMs precisam colocar muito esforço para garantir que dispositivos são adequados para o propósito e podem ser confiados para inovação. Requer investimento em habilidades e processos internamente, e comunicação clara e transparência em toda a cadeia de suprimentos. Todo componente atende aos padrões rigorosos que um cliente tem direito de esperar?

Tão importante quanto, no entanto, é o investimento que precisa ser feito em educação do usuário final. O mercado é altamente sensível a preço, e clientes precisam de orientação clara para entender os riscos envolvidos ao comprar equipamentos de fornecedores desconhecidos que não estão configurados corretamente.

E além disso, a conscientização deve ser levada além do departamento de TI. Todos em uma organização precisam entender a importância de processos de aquisição corretos, já que o custo decrescente e simplicidade de uso para dispositivos IoT modernos os torna difíceis de controlar. Um CIO pode ter a melhor estratégia em vigor, mas se um gerente de negócios está comprando equipamentos no cartão de crédito e adicionando-os à rede corporativa, quem é responsável por garantir que os produtos são seguros?

Regulamentações aumentaram a conscientização

Dito isso, empresas estão se tornando mais conscientes dos riscos de cibersegurança que dispositivos conectados à rede apresentam, e 2018 viu muita mudança regulatória para combater as ameaças. O Regulamento Geral de Proteção de Dados (GDPR) começou a ser aplicado, assim como a Diretiva sobre segurança de redes e sistemas de informação (Diretiva NIS).

Ambas as diretivas impõem as mesmas penalidades financeiras substanciais para não conformidade. Multas monetárias grandes têm o potencial de debilitar negócios, então é imperativo que as empresas relevantes realizem a devida diligência no cumprimento de seus requisitos.

Já testemunhamos multas GDPR sendo impostas no Reino Unido e UE relacionadas à implantação de sistemas CCTV. Foi relatado recentemente que hackers no Reino Unido invadiram sistemas CCTV de escolas e transmitiram filmagens de alunos ao vivo na internet. Entensivelmente, isso ganhou muita publicidade negativa; afinal, mandamos nossos filhos para a escola com a expectativa de que estarão seguros, e os sistemas de segurança estão lá para protegê-los, não para colocá-los em risco.

Selecionar os parceiros tecnológicos certos é crítico

Em nosso cenário de segurança convergente, selecionar o parceiro tecnológico certo nunca foi tão importante. Praticantes de segurança precisam reconhecer que cibersegurança não é apenas um problema de TI e entender os riscos associados de cibersegurança para um negócio relacionados à implantação de sistemas de segurança física e eletrônica. Embora a digitalização da segurança física seja um espaço tremendamente emocionante para estar no momento, para que continue, como indústria precisamos enfrentar melhor a questão de cibersegurança, e em breve.