Selon une enquête d’Axis et Genetec, seules 15% des entreprises interrogées se disent prêtes à faire face à une cyberattaque. Leur principal sujet d’inquiétude? Non pas le cloud, les appareils mobiles, le stockage des données ou les systèmes OT, mais les technologies de sécurité.

À première vue, cela pourrait sembler ironique, puisque ces dernières sont justement censées améliorer notre sécurité. Néanmoins, comme toutes les autres technologies, elles représentent, elles aussi, un certain risque. Et les caméras de surveillance ne font pas exception à la règle. Il est d’autant plus important pour les revendeurs IT, les fournisseurs de services gérés (MSP) et les intégrateurs de garder également la cybersécurité à l’esprit lors du choix de solutions appropriées. Chez Alltron, nous accompagnons nos client·e·s dans cette démarche.

Les caméras servent de porte dérobée pour entrer dans le réseau informatique

Les caméras de surveillance connectées représentent effectivement un risque cyber. C’est quand même assez incongru! Une caméra de surveillance n’est pas vraiment ce qui nous vient à l’esprit quand on pense à une faille de cybersécurité. Le dispositif est discrètement fixé au mur ou au plafond dans le but d’enregistrer, de dissuader et d’assurer une sécurité accrue. Or, malgré cela, il constituerait lui-même un maillon faible sous-estimé. Beaucoup oublient en effet que, même si la caméra paraît high-tech, il ne s’agit souvent que d’un appareil IoT classique. Elle n’est pas autonome, mais fait partie d’un réseau et représente donc automatiquement une porte d’accès potentielle.

Cela ne signifie néanmoins pas pour autant qu’il faille renoncer aux caméras de surveillance, qui sont et restent un élément essentiel de la sécurité des bâtiments. Cela signifie juste qu’il faut leur accorder la même attention qu’aux autres systèmes.

Où le risque se situe-t-il concrètement?

De nouvelles failles sont découvertes en permanence. La sécurité absolue et complète n’existe pas. Néanmoins, selon Axis Communications, les répercussions critiques potentielles qu’elles pourraient avoir dépendent en premier lieu de…

• la simplicité avec laquelle cette faille peut faire l’objet d’une attaque ainsi que de
• l’impact potentiel et de l’ampleur qu’une attaque pourrait avoir sur le reste du système.

En règle générale, ces deux facteurs peuvent être affectés. Exemples de risques dans ces domaines:

Firmware obsolète: une caméra qui a assuré un service fiable pendant de nombreuses années tombe rapidement dans les oubliettes. C’est justement là que le bât blesse. En l’absence de mises à jour de sécurité, même des vulnérabilités connues ne sont pas corrigées. Les hackers n’ont alors pas nécessairement besoin de développer une nouvelle méthode d’attaque. Dans certains cas, il leur suffit d’exploiter des failles de sécurité déjà analysées.

Mots de passe non sécurisés ou préréglés: des informations de connexion standards, des mots de passe faibles ou utilisés plusieurs fois facilitent un accès non autorisé. Ce point est particulièrement problématique si le même compte utilisateur permet d’accéder non pas à des caméras individuelles, mais à des interfaces d’administration centrales.

Segmentation défectueuse du réseau: si la vidéosurveillance se trouve dans le même segment de réseau que d’autres systèmes critiques pour l’entreprise, une caméra compromise peut dans le pire des cas servir de point d’entrée pour d’autres attaques. Le véritable problème est alors moins l’accès à l’image de la caméra que la possibilité de continuer à explorer tout le réseau.

Services inutilement accessibles: les interfaces non utilisées, les ports ouverts ou les interfaces d’administration accessibles via Internet augmentent la surface d’attaque. Ce qui semble confortable pour l’installation peut représenter un risque inutile pendant le fonctionnement.

Ambiguïtés des responsabilités et des règlements: qui s’occupe véritablement des caméras? Le service informatique? Le service de sécurité? Le Facility Management? Un intégrateur externe? Quelles sont les directives de sécurité applicables et quel personnel doit y être formé? Des failles de responsabilité peuvent rapidement apparaître, compte tenu de la sécurité physique couplée à l’informatique. Des mises à jour ne sont pas effectuées, des comptes utilisateur sont conservés ou des appareils continuent d’être exploités bien que l’assistance ait expiré depuis longtemps.

Des conséquences qui dépassent le réseau

Si une caméra de surveillance est compromise, le dommage ne s’arrête pas nécessairement à l’image vidéo. Si des hackers réussissent depuis ce point d’entrée à pénétrer dans d’autres systèmes, il peut en résulter une fuite des données, une manipulation ou un cryptage des systèmes et une interruption des processus commerciaux. L’entreprise devra alors faire face à des coûts élevés de criminalistique, de restauration, sans oublier les mesures de sécurité supplémentaires. Sa renommée pourrait elle aussi en pâtir: notamment si des données de collaborateur·rice·s, de client·e·s ou de visiteur·euse·s venaient à tomber entre de mauvaises mains.

À cela s’ajoutent des obligations légales. Si un incident conduit à une violation de la sécurité des données qui représente provisoirement un risque élevé pour la personnalité ou les droits de base de la personne concernée, l’entreprise doit en informer le plus vite possible le Préposé fédéral à la protection des données et à la transparence (PFPDT) en vertu de l’art. 24 de la LPD. Les personnes touchées doivent également être informées si leur sécurité le requiert. Qui plus est, la violation intentionnelle de certaines obligations liées à la sécurité des données peut faire l’objet de sanctions en vertu de la LPD.

Ces incidents sont particulièrement graves si une défaillance ou une fuite de données peut entraîner des conséquences non seulement économiques, mais aussi sociales, voire physiques. Les principaux domaines concernés ici sont le système de santé, les distributeurs d’énergie et d’eau, les transports, le secteur financier, les agences gouvernementales ainsi que les services d’information et de communication.

Meilleures pratiques: prendre des mesures de cybersécurité

Concrètement, une caméra IP ne devrait pas être considérée comme un appareil de sécurité isolé, mais comme un terminal informatique interconnecté. Par conséquent, la caméra à proprement parler, mais aussi le système vidéo dans son ensemble (y compris le réseau, le logiciel de gestion et l’assistance du fabricant) doivent être sécurisés. Le risque zéro n’existe pas. Les étapes ci-après permettent néanmoins de le limiter fortement.

• Connaître l’état de l’équipement: faire l’inventaire complet de toutes les caméras, enregistreurs et systèmes de gestion, en spécifiant le modèle, l’état du firmware et le statut de l’assistance.
• Segmenter le réseau: placer la vidéosurveillance dans un VLAN ou une zone de sécurité propre et limiter de manière ciblée les connexions à d’autres systèmes. L’approche Zero Trust est ici particulièrement recommandée.
• Sécuriser les accès: remplacer les mots de passe standards, utiliser des données d’accès individuelles renforcées, attribuer des droits sur le principe du minimum requis et vérifier régulièrement les comptes. Les changements de mot de passe devraient se faire notamment en cas de soupçon de compromission.
• Réduire la surface d’attaque: désactiver les ports, services et interfaces inutilisés; n’autoriser des accès à distance que s’ils sont cryptés et contrôlés.
• Patching et vérification: mettre rapidement à jour les firmwares, vérifier régulièrement l’absence de failles sur les appareils et évaluer les avertissements de fabricant ainsi que les exploits connus en fonction des risques. Une solution basée sur le cloud pourrait s’avérer utile ici.
• Planifier un cycle de vie: tenir compte des délais d’assistance dès l’achat et remplacer les appareils à temps avant l’expiration des mises à jour de sécurité. De plus amples informations à ce sujet sont indiquées ici.
• Définir les responsabilités: définir les responsabilités entre le service informatique, la sécurité, les intégrateurs et les fabricants et vérifier régulièrement les dispositions internes des systèmes et les exigences en vigueur en matière de conformité et de protection des données.

Du fournisseur de caméras au partenaire de sécurité

Pour le revendeur IT, les MSP et les intégrateurs, il y a là aussi une opportunité. En effet, s’ils offrent un service d’accompagnement pendant tout le cycle de vie, sans se limiter à l’installation pure et simple de la vidéosurveillance, ils créent une réelle valeur ajoutée pour leur clientèle: de l’intégration sûre dans le réseau au remplacement à temps des appareils obsolètes, en passant par des mises à jour et la gestion des failles. Le fournisseur de caméra devient ainsi un partenaire de sécurité qui contribue à accroître la sécurité et la maintenabilité de la vidéosurveillance exploitée, tout en respectant les exigences internes et réglementaires. 

Chez Alltron, nous serions ravis de t’accompagner dans le choix de solutions, de fabricants et de prestations de services appropriés. Alltron compte aujourd’hui plus de 1500 partenaires et offre son aide non seulement pour la conception de projet, mais aussi pour le conseil et la formation. Les sujets tels que la cybersécurité ne font pas exception. Nous sommes un sparring-partner de A à Z et nous contribuons à préparer des solutions de sécurité qui s’intègrent dans un système global intelligent.

Source image de couverture: générée par l’IA (ChatGPT)