Wat iedere IT-manager moet weten over fysieke security

Geavanceerde cyberdreigingen, van ransomware tot aanvallen op de supply chain, zijn aan de orde van de dag en cybersecurity domineert dan ook de IT-agenda. Tegelijkertijd is fysieke beveiliging even belangrijk zijn deze twee zijn steeds meer verbonden met elkaar. Servers, switches en endpoints bevinden zich tenslotte allemaal in zowel de fysieke wereld als in datacenters en meldkamers. En als fysieke situaties worden aangetast, kunnen ook de best beveiligde cybersecurityomstandigheden in gevaar komen.

Security van belang voor elke ingang 

In essentie draait elke soort beveiliging om geautoriseerde toegang. IT-teams beheren de digitale toegang als de beste, maar wanneer onbevoegden toch toegang krijgen tot een fysieke beveiligde ruimte of kritieke fysieke security hardware kunnen hacken, volstaan digitale beveiligingsmaatregelen alleen niet. Daarom is er een groeiende overlap tussen fysieke security incidenten en cyber-incidenten. Bij het onderzoeken van een security incident kan IT bijvoorbeeld bewijsmateriaal op het netwerk vinden over waar het incident is begonnen, of wie de dader zou kunnen zijn. Maar zonder fysieke bewakingsbeelden of toegangsregistratie blijft het volledige plaatje onvolledig. Fysieke beveiliging vult die leemte op en geeft IT-teams een breder inzicht in wat er is gebeurd.

Fysieke security risico’s 

Diefstal en vandalisme zijn voor de hand liggende risico's, maar veel fysieke bedreigingen zijn onopvallender voor IT-systemen en kunnen worden onderschat. Een belangrijke reden is dat veel organisaties nog vertrouwen op zowel verouderde toegangscontrolesystemen als oudere videobewakingshardware. Ze realiseren zich niet dat kwaadwillenden jaren de tijd hebben gehad om deze technologieën te bestuderen, te hacken en te misbruiken. Een aantal mogelijke risico’s zijn dan:

• Klonen: Oudere toegangscontrolesystemen maken vaak gebruik van ingewikkelde inloggegevens of verouderde encryptie, waardoor klonen eenvoudiger wordt. Het klonen van badges kan bijvoorbeeld worden gedaan met goedkope, kant-en-klare tools. Toegangspasjes of tags – vooral oudere versies – zijn vaak niet versleuteld, waardoor ze met weinig moeite gekopieerd en hergebruikt kunnen worden. 
• Inconsistent patchen: Oudere toegangscontrole- en videobewakingssystemen krijgen mogelijk geen regelmatige updates of patches meer, waardoor ze kwetsbaar zijn. In veel gevallen is de enige manier om echte veiligheid te garanderen, het upgraden of nieuwe systemen met moderne technologie implementeren.
• Andere externe risico´s: Als een oud toegangscontrole- of videobewakingssysteem niet goed wordt opgeschoond voordat het buiten gebruik wordt gesteld, kan een aanvaller data achterhalen of, erger nog, de hardware bestuderen en manieren vinden om soortgelijke systemen te hacken die elders in de organisatie nog worden gebruikt.
• Interne risico´s: Naast externe bedreigingen neemt ook het risico van binnenuit toe. Kwaadwillende nieuwe medewerkers kunnen bijvoorbeeld toegangssystemen onderzoeken en hun badge – of die van iemand anders – bij elke deur testen, om te zien hoe ver ze kunnen komen. Zonder goede registratie en monitoring via toegangscontrole en videobewaking blijft dit vaak onopgemerkt, tot het te laat is. 

IT- en beveiligingsteams moeten ook rekening houden met infrastructuur-dreigingen via badgelezers en camera's; denk bijvoorbeeld aan kwaadwillenden die apparatuur achter lezers installeren om toegangsgegevens te onderscheppen of inloggegevens te vervalsen. Anderen kunnen misbruik maken van kwetsbaarheden in camera's, zoals verouderde firmware, om ongeoorloofde toegang te krijgen tot videobeelden. Kortom, de beveiliging van het toegangscontrole-ecosysteem omvat ook badges, lezers, camera's en zelfs training van medewerkers in best practices.

Gelaagde toegangscontrole en actieve dreigingsdetectie

Geen enkele methode voor toegangscontrole is volledig effectief. Keycards, biometrische identificatiemiddelen en mobiele credentials hebben allemaal hun sterke en zwakke punten. Het belangrijkste is om ze in combinatie te gebruiken. Door meerdere authenticatiemethoden te combineren, zoals een keycard in combinatie met biometrie, verminder je risico's. Het zorgt ervoor dat als één methode wordt misbruikt, er nog steeds een andere methode van kracht is. 

Moderne bewakingssystemen bieden actieve dreigingsdetectie met behulp van IP-camera's, cloudopslag en AI-gestuurde analytics. Ze zorgen voor real-time alerts wanneer ongebruikelijk gedrag gedetecteerd wordt, zoals iemand die rondhangt in de buurt van een beperkt toegankelijk gebied of een indringer die meerdere pogingen doet een deur te openen.

Wanneer bewakingsystemen worden geïntegreerd met IT-systemen, voegt het cruciale context toe aan incidenten. Het koppelt toegangspogingen aan gebruikersidentiteiten en netwerk logs. Als er een inbreuk of afwijking is, kunnen teams digitale en fysieke gegevens met elkaar in verband brengen om sneller te reageren en te reconstrueren wat er is gebeurd. 

Compliance en fysieke security 

Daarnaast is fysieke security steeds vaker onderdeel van regelgeving. NIS2, ISO 27001, SOC 2 en GDPR bevatten voorschriften voor fysieke beveiliging, zoals toegangslogging en beveiliging van hardware. Deze voorschriften vereisen dat organisaties aanvullende maatregelen nemen om aan te tonen dat fysieke toegang wordt gecontroleerd en gedocumenteerd op een manier die aansluit bij het IT-beleid en wettelijke verplichtingen.

Aangezien veel fysieke beveiligingssystemen draaien op door IT beheerde infrastructuur, zoals Windows- of Linux-servers, vallen configuratie en onderhoud volledig onder het domein van IT. Als het besturingssysteem achter een beveiligingscamera of badgelezer niet is gepatcht, kunnen de fysieke controles die ze ondersteunen in gevaar komen. 

Drie dingen die belangrijk zijn voor elke IT-manager:  

• Creëer sterke interactie met fysieke security collega’s: veiligheid verbeter je niet wanneer je in silo’s werkt; samenwerking is essentieel.
• Behandel fysieke en cyber security als één geheel: Ieder apparaat, elke credential en iedere endpoint is onderdeel van beide werelden.  
• Ontwikkel met de gedachte in het achterhoofd dat er fouten kunnen optreden: geen enkel controlesysteem is feilloos. Bouw meerdere verdedigingslagen in en ga er altijd vanuit dat een van de systemen kan uitvallen. 

Bij het beveiligen van netwerken wordt de fysieke security die onderdeel is van de digitale infrastructuur van een organisatie nog regelmatig overgeslagen. Maar aanvallers zijn daar niet voorbijgegaan. Zij weten dat verouderde badges en andere toegangstools kunnen worden vervalst en dat met de juiste hardware-ontgrendeling een schat aan gevoelige data kan worden ontsloten.

Bob van Keulen, Genetec