隨時瞭解最新的網路安全趨勢和來自可信來源的威脅情報，使個人和組織能夠積極解決漏洞。 // 圖片由STNAZKUL透過ISTOCK/GETTYIMAGES提供
Klacci 凱樂奇提供廣泛的產品系列，包含用於商用、學院、政府機關及其他公共或私人場所之圓柱型門鎖、連動鎖、匣式鎖和逃生門鎖。 Klacci產品符合美國國家標準ANSI/BHMA一級和二級標準要求，通过UL三小時防火認證 而部分產品遵守建築物無障礙設施設計規範和美國身障法。
知情專家解釋了對影像監控安全整合商，進行網路安全培訓和教育的迫切需要，詳細介紹了建立意識、對員工進行協議培訓，以及在組織內培養安全文化的最佳做法。
隨著影像監控系統變得越來越複雜，和相互關聯，它們也成為網路攻擊的主要目標。 違規的後果可能是嚴重的，不僅會損害實體空間的安全，還會損害個人的隱私和安全。 為了減輕這些風險，必須採取全面的網路安全措施。 這從在所有整合團隊成員中建立網路安全意識開始，確保從高層管理人員到技術人員的每個人，都瞭解潛在威脅和應對這些威脅的最佳做法。
對員工進行安全協議培訓，是另一個關鍵步驟。 透過實施處理和保護資料、應對事件和維護系統完整性的標準化程式，組織可以顯著減少漏洞。 此外，在組織內培養安全文化，可確保網路安全成為共同責任，融入日常運營，而不是事後的想法。
SDM 諮詢了超過六家製造商，以探索開發強大的網路安全框架的最佳實踐。 這些專家為安全整合商提供實用建議，優先考慮網路安全教育，培養積極主動的安全文化，並更好地保護資產以保持對監控能力的信任。
應對網路安全挑戰
設計和安裝影像監控系統，給安全整合商帶來了幾個關鍵的網路安全挑戰。 根據德克薩斯州奧斯汀 Eagle Eye Networks 執行長兼創始人 Dean Drako 的說法，過時的系統和人為錯誤，是需要解決的主要問題之一。 像任何網路裝置一樣，現代影像監控裝置容易受到駭客攻擊，有可能成為網路犯罪分子滲透到大型 IT 網路的閘道器 —— 這是一個重大的安全風險。 為了減輕這種風險，必須確保所有裝置都是安全的，並定期更新最新的網路安全補丁。
Drako 強調，許多公司中缺乏必要的網路安全措施的過時系統盛行。 他指出，網路犯罪分子更有可能瞄準這些舊系統，將它們與新技術整合可能會加劇安全漏洞。 他建議整合商要麼升級這些過時的系統，要麼實施強大的安全措施，以解決尚未充分緩解或修補的揮之不去的漏洞。
Drako 說：「密碼弱、設定不正確和不頻繁更新等人為錯誤都屬於這一類別。」「為了減少惡意或意外濫用的可能性，整合商應確保所有員工接受有關網路安全最佳實踐的適當培訓，並正確設定系統。」
休斯頓 iPRO Americas 資訊保障和資料隱私高階經理 Will Knehr 同意，將遺留系統與新技術整合可能會導致不相容性，和過時的安全措施導致漏洞。
他說：「網路漏洞也帶來了重大風險，因為影像監控系統通常連線到網路，使它們容易受到基於網路的攻擊。」「此外，確保包括攝影機和網路錄影機（NVR）在內的所有裝置的安全，免受未經授權的連線存取非常重要。」
Knehr 繼續說，資料隱私和保護是另一個關鍵領域，需要採取措施保護捕獲影像資料的完整性和隱私。 此外，管理和監控使用者對系統的連線存取，以防止未經授權的使用，是整合商必須應對的持續挑戰。
紐約費爾波特市博世安全與安全系統高階網路資料技術培訓師大衛·布倫特解釋說，在大多數情況下，網路安全沒有寫入給定專案的規範中。 如果是的話，安裝人員可能沒有網路安全、最佳實踐或鎖定系統的工作知識。
布倫特補充說：「此外，根據指定的產品和供應商，除了密碼保護之外，可能還有有限的或沒有額外的網路安全功能。」「如果有功能，它們可能超出了普通安裝技術人員的範圍。」
新澤西州蒂內克韓華美國願景產品培訓總監 Aaron Saks，強調了系統安裝中普遍面臨的挑戰 —— 將速度置於網路安全考慮之上的趨勢。 他強調：「通常，安裝人員匆匆忙忙地完成專案，將網路安全作為事後的想法，或者更糟糕的是，由於時間和成本限制，完全被忽視了。」
此外，Saks 強調了整合商熟悉品牌網路安全功能的重要性。 他解釋說：「如果整合商不熟悉品牌的網路安全實踐，他們可能無法最佳化系統功能或實施最佳實踐。」
[導航網路安全合規性：法規、標準和最佳實踐]
網路安全及其各種元素已經足夠複雜了。 除此之外，監管和合規性挑戰規模龐大，不斷成長，並加劇了複雜性。 網路安全標準和法規的形成，是為了保護連線到網路的實體安全裝置的指導方針或最低基線。 在 Mirai 僵屍網、NotPetya 和 SolarWinds 漏洞等具有里程碑意義的事件之後，世界各地的監管機構通常會起草標準和法規，以防止這些類型的大規模攻擊再次發生。 結果是必須遵守的越來越多的措施。 以下是需要注意的一些關鍵領域：
考慮立法程序和管理機構——儘管正在進行努力，但重要的是要明白，立法過程需要時間，因此現有的標準和認證通常，與網路安全威脅格局不同步。 此外，重要的是要記住，全球各地都有不同的標準和認證組織。 而且，雖然它們之間往往有一些共同點，但也可能存在明顯的差異。 一些組織更以裝置為中心，如歐洲電信標準協會（ETSI）及其標準，如 ETSI EN 303 645，專注於消費者物聯網裝置。 其他組織更專注於公司和企業，如歐盟的網路和資訊保安（NIS）及其 NIS 2 指令，該指令目的在提高網路和資訊系統的整體安全性。
瞭解特定行業的法規並採取系統性方法 —— 還有特定於行業垂直領域的網路安全法規，如支付卡行業的資料安全標準（PCI-DSS）；北美電力可靠性公司的關鍵基礎設施保護標準（NERC/CIP）；當然還有醫療保健的健康保險可攜性和問責法（HIPPA）和經濟和臨床健康健康資訊科技（HITECH）以及其他法規。
對於一個企業來說，當他們計劃實施網路影像監控時，很難繪製所有具體的全球需求。 最佳做法是首先幫助他們檢查所有外部網路安全要求，然後是法定或合同義務所需的要求。 這種方法有助於為外部需求建立基線。 從那裡，公司可以在此基線之上建立內部治理，以增加超越基本要求的控制和解決措施，從而更好地保護其業務。
採用整體觀點和「零信任」思維 —— 總體而言，從整體上看待需求是網路安全最佳實踐，包括對實體安全裝置和解決方案製造商的評估。 重要的是要研究製造商產品的能力，但也要檢查公司本身，及其實施網路安全的方式。 當然，在強化產品和解決方案，以及實施網路安全功能方面，整合商和安裝商也發揮著關鍵作用。 最後，網路安全歸根究底是警惕並支援零信任模式。 請記住，客戶和營運商有很多利害關係，需要確保所有網路政策和做法都得到妥善實施，以便他們的業務可以得到更充分的保護。
—Wayne Dorris 擔任Axis Communications的網路安全專案經理
他說，與值得信賴的製造商合作非常重要，確保整合商事先瞭解產品中嵌入的網路安全措施。
Saks 以韓華的預設安全政策為例，其中攝影機具有開箱即用的推薦設定，為使用者簡化了設定。 他強調了安裝商和製造商之間明確溝通的重要性，以彌合產品設計方面的潛在知識差距，在專案開始前採取積極主動的網路安全措施。
他說：「從本質上講，安裝人員和製造商之間的有效協作和溝通確保了網路安全無縫整合到系統安裝中。」
蒙特婁 Genetec 首席安全架構師 Mathieu Chevalier 指出，首先，確保實體安全系統的網路安全態勢似乎成本高昂，包括購買安全硬體和軟體，以及員工培訓等成本因素。 然而，忽視盡職調查可能會導致財務損失、營運停機、法律罰款和聲譽損害，超過初始投資。 他說，雖然前期和持續支出是必要的，但它們減輕了安全漏洞的更高成本。
Chevalier 解釋說：「對於許多系統整合商來說，關鍵挑戰之一是瞭解最新的網路威脅和防禦。」「這主要是由於整合物理和資訊科技（IT）安全越來越複雜，不斷演變的威脅格局和專門的網路安全技能組合。 駕馭不斷變化的監管和合規性要求增加了複雜性。”
Chevalier 承認，瞭解漏洞修補、軟體更新和管理這些環境可能具有挑戰性。 因此，整合商應該與處理大部分此類工作的製造商合作，以便節省時間，同時為客戶提供更多的可靠性。
在設計和安裝新系統期間，通訊和文件對於應對網路安全挑戰非常重要。 根據馬薩諸塞州切姆斯福德 Axis Communications 網路安全專案經理 Wayne Dorris 的說法，整合商必須瞭解終端使用者在每個專案階段的網路安全和檔案責任。 在設計階段，產品是根據專案需求選擇的，而網路網路安全考慮因素在實施時非常重要。
Dorris 說：「很多時候，這些都沒有明確概述，即使它們是，專案啟動時的團隊也不一定是安裝影片裝置的同一個團隊。」
儘管專案可能會延遲，但在整個安裝過程中，保持網路安全仍應是優先事項。 Dorris 強調：「遵守安裝截止日期的壓力可能開始優先於保護或鎖定系統 —— 但當涉及到網路安全時，重要的是不要受到威懾。」
在客戶接受階段，需要明確軟體更新管理責任。Dorris 強調了與終端使用者討論和記錄補丁管理期望的重要性：「整合商可能會在安裝後的第一年處理這項工作，但之後誰會這樣做？ 這項責任必須與最終客戶討論和確定，並可以納入服務協議。」
紐約州阿米蒂維爾 Speco Technologies 行銷經理邁克爾·舒特說，使用者意識和培訓是網路安全的關鍵方面，特別是在影像監控系統的背景下。 終端使用者培訓在確保客戶及其員工，精通與這些系統相關的網路安全最佳實踐方面發揮著關鍵作用。
Schutt 說：「這包括瞭解如何駕馭潛在的安全風險，並擅長安全處理技術。」「此外，解決使用者行為非常重要，因為它可能會構成重大威脅，如密碼管理不善或易受網路釣魚攻擊。 應對這些挑戰需要採取全面的方法，包括強大的系統設計、定期維護和更新、持續監控和徹底的使用者培訓。」
彌合知識差距
儘管強有力的網路安全措施非常重要，但存在一些普遍的誤解和理解差距，可能會破壞影像監控系統的有效性。 訊息人士稱，解決這些誤解對於確保整合商能夠充分保護客戶的影像監控基礎設施，免受複雜的網路威脅非常重要。
Brent 解釋說，其中一個差距是瞭解漏洞掃描和筆測試之間的區別。 漏洞掃描需要幾分鐘時間，並辨識基本漏洞，而測試可能需要數週或數月，具體取決於目標。 值得注意的是，一些漏洞，如Stuxnet，花了數年時間來開發，他說。
Brent 補充說：「此外，一個誤解是，駭客想要實際的影像。」「駭客通常專注於影像裝置 —— 一個具有 IP 地址和頻寬的邊緣裝置，如果可以掛載，可以用作武器平台 —— 而不是影像。」
Knehr 認為，一個普遍的誤解是，僅靠實體安全措施就足以保護影像監控系統，而忽視了全面網路安全措施的需要。
他說：「一些整合商可能低估了網路威脅的可能性，認為影像監控系統不是網路攻擊的主要目標。」「此外，假設基本 IT 知識在沒有專門的網路安全培訓的情況下是足夠的，可能會導致安全措施不足。」
Chevalier 說，最常見的謬誤之一是，如果它今天有效，就沒有必要擔心它。
[獲得強大的網路安全開始]
為了幫助安全整合商在影像監控專案中，優先考慮網路安全，SDM 向本故事中的訊息來源詢問了他們從哪裡開始的頂級建議。 以下是他們不得不說的：
「從你最常安裝的裝置和系統的培訓、資源和工具開始。 大多數主要製造商還僱用了技術人員，他們可以幫助你和你的客戶處理網路安全問題。 網路安全是一個與許多利益相關者一起的複雜大話題，因此在專案中越早討論這些專案和要求，對每個人都越好。」—— Wayne Dorris，Axis Communications
「網路安全影響著每個行業和生活部門。 整合商應該考慮，讓他們的技術人員接受網路培訓，以提供系統鎖定，作為安裝包的一部分。 擁有擁有正確認證的合格技術人員，整合商甚至可以作為經常性服務，向客戶提供季度漏洞分析。—— 大衛·布倫特，博世安全和安全系統
「尋找具有網路鎖定功能的雲影像監控提供商，其中任何連線到 VMS 的攝影機都被鎖定 —— 不能被攻擊和洩露—— 並且不允許任何可能植入攝影機中的木馬與網際網路通訊。」—— Eagle Eye Networks 的Dean Drako
「請記住，任何連線到網際網路或更廣泛的網路的應用程式都需要關注，因為它對組織構成潛在風險。 物聯網裝置，如相機或讀卡機，可能成為攻擊表面。 對帳戶實施多因素身份驗證，並審查你的供應商，以優先考慮供應鏈中的網路安全。 此外，使用多種控制，通常被稱為深度防禦，以改善你的姿勢。」 ——Mathieu Chevalier，Genetec
你可能有一個客戶今天只安裝了 25 支攝影機，但在未來兩三年內，它們可能會成倍成長。 隨著這些攝影機數量的增加，客戶是否還需要門禁控制、影像解決方案和其他可擴充的網路產品？ 這就是為什麼保持最新狀態、受過教育並配備最新的資源和工具很重要。 你是否知道如何在網路上捕獲資料包，以便能夠進行故障排除或與製造商的技術支援團隊合作？ 找到可以隨著你和你的客戶業務而成長的產品。 監控和網路加密技術變化如此之快，保持最新狀態很重要，否則你可能會落後。——Aaron Saks，韓華視覺美國
「從風險評估開始，以識別漏洞並優先解決它們。 投資培訓，以確保團隊成員瞭解網路安全實踐。 實施強大的訪問控制，如多因素身份驗證，並定期審查許可權。 使用安全補丁更新軟體和韌體。 制訂有效處理網路安全事件的事件應對計劃。 在整個組織中培養安全文化，鼓勵對網路安全採取積極主動的方法，並有助於將安全整合到業務的各個方面。」——Will Knehr，iPRO Americas
定期更新軟體和系統、參加行業會議和參加專業發展課程是保持強有力的安全措施的基本做法。 透過信譽良好的來源瞭解最新的網路安全趨勢和威脅情報，確保個人和組織能夠主動解決漏洞。——Michael Schutt，Speco Technologies
為了幫助安全整合商在影像監控專案中，優先考慮網路安全，SDM 向本故事中的訊息來源詢問了他們從哪裡開始的頂級建議。 以下是他們不得不說的：
「從你最常安裝的裝置和系統的培訓、資源和工具開始。 大多數主要製造商還僱用了技術人員，他們可以幫助你和你的客戶處理網路安全問題。 網路安全是一個與許多利益相關者一起的複雜大話題，因此在專案中越早討論這些專案和要求，對每個人都越好。」 ——Wayne Dorris，Axis Communications
「網路安全影響著每個行業和生活部門。 整合商應該考慮讓他們的技術人員接受網路培訓，以提供系統鎖定，作為安裝包的一部分。 擁有擁有正確認證的合格技術人員，整合商甚至可以作為經常性服務，向客戶提供季的漏洞分析。——大衛·布倫特，博世安全和安全系統
「尋找具有網路鎖定功能的雲端影像監控提供商，其中任何連線到 VMS 的攝影機都被鎖定 —— 不能被攻擊和洩露—— 並且不允許任何可能植入攝像機中的木馬與網際網路通訊。」——Eagle Eye Networks的Dean Drako
「請記住，任何連線到網際網路或更廣泛的網路的應用程式都需要關注，因為它對組織構成潛在風險。 物聯網裝置，如相機或讀卡機，可能成為攻擊表面。 對帳戶實施多因素身份驗證，並審查你的供應商，以優先考慮供應鏈中的網路安全。 此外，使用多種控制，通常被稱為深度防禦，以改善你的姿勢。」——Mathieu Chevalier，Genetec
你可能有一個客戶今天只安裝了 25 支攝影機，但在未來兩三年內，它們可能會成倍增長。 隨著這些攝影機數量的增加，客戶是否還需要門禁控制、影像解決方案和其他可擴充的網路產品？ 這就是為什麼保持最新狀態、教育訓練，並配備最新的資源和工具很重要。 你是否知道如何在網路上捕獲資料包，以便能夠進行故障排除，或與製造商的技術支援團隊合作？ 找到可以隨著你和你的客戶業務而成長的產品。 監控和網路加密技術變化如此之快，保持最新狀態很重要，否則你可能會落後。——Aaron Saks，韓華視覺美國
「從風險評估開始，以識別漏洞並優先解決它們。 投資培訓，以確保團隊成員瞭解網路安全實踐。 實施強大的門禁控制，如多因素身份驗證，並定期審查許可權。 使用安全補丁更新軟體和韌體。 制訂有效處理網路安全事件的事件應對計劃。 在整個組織中培養安全文化，鼓勵對網路安全採取積極主動的方法，並有助於將安全整合到業務的各個方面。」——Will Knehr，iPRO Americas
定期更新軟體和系統、參加行業會議和參加專業發展課程是保持強有力的安全措施的基本做法。 透過信譽良好的來源瞭解最新的網路安全趨勢和威脅情報，確保個人和組織能夠主動解決漏洞。——Michael Schutt，Speco Technologies
他說：「這種'設定它並忘記它'的心態可能會危及安全和隱私。」「過時的韌體或預設密碼為攻擊者破壞整個網路奠定了立足點。 為了減輕這種風險，系統整合商可以採取積極主動的方法，在更新 IT 網路時更新客戶的實體安全系統。」
Chevalier 補充說，另一個常見的誤解是，網路攻擊是高技能網路犯罪分子的專屬領域。 易於使用、易於獲取的駭客工具的可用性，使技術知識有限的個人，更容易進行網路攻擊。
「如今，針對網際網路上安全攝影機的隨時可下載的漏洞越來越多，這增加了實體安全系統面臨的風險。 這些使技術不太熟練的攻擊者能夠欺騙個人並獲取敏感資訊，」他解釋道。
Dorris 強調，如果一個專案缺乏網路安全要求或很少，它應該發出紅旗。 整合商應尋求與終端使用者澄清要求。 至少，如果沒有提供指導，整合商可以提議為裝置和系統，實施一個基本的網路安全框架。
他補充說：「要實施的一些基本網路衛生做法包括加密、設定最低特權帳戶，以及將軟體更新到最新版本。」
Dorris 指出，人們經常錯誤地認為，僅僅實行基本的網路衛生，可以顯著降低網路安全風險並防止攻擊。 他說：「這些小事，如更改密碼和保持軟體最新狀態，很重要，確實會帶來不同，但有一個警告：只有在持續應用和更新的情況下，它們才會有幫助。」
在Saks 看來，製造商和整合商之間在影片監控中的網路安全方面最常見的差距發生在假設產品的網路安全將防止任何入侵，而無需採取進一步措施時。 他強調的另一個重要問題是內部威脅。
「你可能擁有最安全的防火牆，或最安全的攝影機或裝置，但你的網路中可能已經有惡意病毒或惡意軟體。 人們往往認為擁有強大的防火牆就足夠了，」Saks 解釋道。 「這就是為什麼採取整體方法如此重要—— 在桌面上安裝防病毒和防惡意軟體，在 VLAN 之間建立防火牆規則，並在網路上分離幾種類型的裝置。」
Drako 解釋說，人們普遍認為，影像監控系統不太容易受到攻擊，因為它們是孤立的，沒有與其他網路連結。 然而，由於它們與企業網路和網際網路的整合，現代基於IP的影像系統往往容易受到外部攻擊。
他說：「雖然這在當時似乎是個好主意，但一些整合商認為，僅僅將他們的系統與其他網路隔離就足以保證他們的安全。」「然而，這樣做限制了誰可以訪問該系統，並使其無法與其他安全系統整合。」
網路技能和知識基礎
由於網路安全仍然是現代影像監控系統的關鍵組成部分，系統整合商必須建立強大的技能和知識基礎，以確保全面保護。
Axis Communications 的 Dorris 強調了基本 IT 和網路安全技能的重要性。 他指出：「許多整合商在他們的組織中都有擁有這些技能的人，但在整個組織中並不一致。」 整合商應該專注於網路安全、證書管理和信任結構。 此外，Dorris 補充說，掌握裝置硬化基礎知識並利用製造商的硬體指南，來與最終客戶的網路安全政策保持一致，是必不可少的技能和實踐。
Genetec 的 Chevalier 進一步強調，整合商必須掌握 IT 安全實踐的基本原理，以及將實體安全系統與IT 基礎設施的整合。
他說：「這包括瞭解網路協議、保護作業系統和應用程式、實施多因素身份驗證和加密資料。」「整合商還應該熟悉行業標準和監管要求，如 GDPR（一般資料保護條例）和 CCPA（加州消費者隱私法）。」
韓華美國願景公司的 Saks 強調了網路設計中遠見的關鍵性。 「我的攝影機是使用專用網路還是使用 VLAN？ 該 VLAN 是如何配置的？ 是否有防火牆規則來限制每種類型的網路之間的流量？ 擁有遠見是頭號技能，」他解釋道。
Saks 還強調了理解特定行業技術和標準的重要性，如 HTTP 與 HTTPS，以及不同版本的傳輸層安全（TLS）協議。 這些基本要素對於確保網路安全實踐，符合特定行業要求非常重要，例如醫療保健中的 HIPAA 或零售中的PCI 合規性。
iPRO Americas 的Knehr 表示，瞭解網路安全是非常重要的。 這包括防火牆、虛擬專用網路（VPN）和網路入侵檢測系統的知識。
Knehr 表示：「整合商必須瞭解常見的網路威脅，如網路釣魚、惡意軟體和勒索軟體，以及如何防禦它們。”」他還強調遵守 GDPR 和 CCPA 等相關法規。 擁有事件反應處理能力，也是整合商的基本技能。
Knehr 繼續說：「進行風險評估以辨識和減輕潛在的漏洞，是確保影像監控系統安全的另一項關鍵技能。」
Eagle Eye Networks 的 Drako 指出了熟悉 TCP/IP、HTTP/HTTPS 和 RTSP 等網路協議的重要性，這些協議通常用於影像監控系統。 他建議，整合商還應該知道如何配置防火牆和實施 VPN，以防止未經授權的訪問。
Drako 提倡使用真正的雲影像監控系統，來減輕一些網路安全維護負擔。 他解釋說：「所有網路安全和功能更新，都透過雲自動交付，」減少了現場訪問和手動更新的需求。 他還強調，與本地硬體相比，雲系統提供了卓越的網路安全保證。
「真正的雲系統與偽雲系統不同，後者同樣不安全。 這些系統不符合 NIST 對雲的定義；它們只是名義上的雲，」他說。 「雲端 VMS 提供商應具有SOC 2 Type 2 等網路安全憑證，這是對產品、流程和協議的嚴格審計。」
博世安全與安全系統的布倫特強調，整合商應該瞭解網路基礎知識，以及加密通訊、資料狀態、基本證書使用情況，以及如何根據正在使用的產品鎖定系統。
他說：「網路景觀是一個移動的目標，威脅向量每天都在變化。」「安全行業主要處理邊緣裝置，如攝影機和面板。 因此，整合商正在安裝的大多數裝置都是駭客的主要目標，因為這些裝置通常不是域的一部分，不受域策略的約束，或支援防病毒軟體。」
商機探索 —— 工地管理要管什麼？
沒有留言:
張貼留言