A medida que aumenta la cantidad de dispositivos conectados por IP en los sistemas físicos, las conversaciones sobre la seguridad de la información son una parte natural del proceso de ventas.
Las organizaciones, como el Instituto Nacional de Estándares y Tecnología (Institute of Standards and Technology, NIST) proponen de forma activa un marco de Identificar-Proteger-Detectar-Responder-Recuperar para la seguridad cibernética. El marco del NIST promueve la identificación de riesgos comerciales claves debido a las amenazas cibernéticas, como la protección de datos, dispositivos y servicios; el monitoreo constante para habilitar la detección de eventos de seguridad cibernética a medida que suceden; y el desarrollo de una respuesta clara y un proceso de recuperación.
Los tres principios de la protección cibernética de Avigilon
La protección de datos, dispositivos y servicios puede ser exitosa únicamente si el software conectado por red y el hardware implementan medidas de defensa adecuadas para garantizar integridad, confidencialidad y disponibilidad.
Integridad
Garantía de que los datos y la función del sistema no se manipulan maliciosa o accidentalmente
La integridad de un sistema se ve comprometida cuando un atacante que aprendió la contraseña del administrador modifica de forma maliciosa el software o toma control de este. El software deserta el desbordamiento del búfer, la inyección del código de base de datos, y las vulnerabilidades de los scripts de sitios también pueden ser una pérdida de integridad.
SOLUCIONES
- No hay cuentas de acceso administrativas de puerta trasera o de mantenimiento
- Firmware firmado y cifrado
- Acceso deshabilitado para el sistema operativo
- Comunicación de control cifrada por completo
- Seguridad de la capa de transporte Secure Remote Password (TLS-SRP) para conexiones cliente-servidor
- Actualizaciones de firmware automáticas
Confidencialidad
Mantenimiento de la información privada y segura
La confidencialidad de un sistema se ve comprometida cuando los usuarios evitan los controles de acceso de un sistema para obtener un acceso sin autorización a los datos que contiene. La mayoría de las veces, una infracción en la confidencialidad es el resultado de un atacante que adivina u obtiene la contraseña de un usuario legítimo para acceder al sistema.
SOLUCIONES
- Control de usuario centralizado mediante la integración de Active Directory o el uso compartido principal/secundario
- Aplicación de seguridad de la contraseña
- Capacidad para cambiar de forma masiva las contraseñas de las cámaras desde el software Avigilon Control Center (ACC)
- Bloqueo tras varios intentos de inicio de sesión no válidos
Disponibilidad
Garantía de tiempo de actividad del sistema y continuidad de la función
Además de la pérdida de confidencialidad e integridad, la disponibilidad de un sistema y de sus datos puede verse comprometida por medio de ataques externos. Por lo general, estos ataquen se realizan como un ataque de rechazo de servicio (Denial of Service, DoS) donde un atacante bombardea un sistema con solicitudes. Si bien es difícil protegerse de todos los tipos de ataques, el efecto, por lo general, es temporal.
SOLUCIONES
- Interrupción progresiva tras varios intentos de inicio de sesión no válidos
- Puerta de enlace de acceso limitado separada para el acceso del cliente ligero (web y móvil) a los videos
- Autenticación de dispositivos 802.1x
*Observe que los avisos y las sugerencias que se encuentran en este folleto se proporcionan únicamente para propósitos informativos y no deben interpretarse ni confiar en ellos como avisos integrales o exhaustivos sobre cómo proteger sus sistemas de las vulnerabilidades cibernéticas. Avigilon no garantiza que ninguno de sus productos sean inmunes a un posible ataque cibernético y observa que, más allá de los avisos y las sugerencias que se encuentran en este folleto, su sistema aún puede estar sujeto a vulnerabilidades cibernéticas o a un ataque cibernético.