Det finnes cybersikkerhetsstandarder for kameraer som primært er utviklet for forbrukernære IoT-produkter, der fokuset ligger på å unngå de enkleste feilene: ingen standardpassord, grunnleggende oppdateringsmuligheter og noe dokumentasjon.

– Dette er viktige tiltak for det brede markedet, men de er nettopp det – et minimumsnivå, sier Sean Österborg.

Han understreker at kameraer som brukes i virksomhetskritiske sammenhenger må kunne dokumentere at de tåler målrettede angrep over tid, i drift, med kontinuerlig skiftende angrepsflater og angrepsvektorer.

Sertifiseringer som kan granskes

Keenfinity baserer sitt arbeid på IEC 62443, både på utviklingsnivå (62443-4-1) og produktnivå (62443-4-2).

– Det betyr at sikkerheten ikke bare kontrolleres i sluttproduktet, men er bygget inn i hele prosessen: trusselmodellering, kodegjennomgang, firmware-signering, secure boot, patchhåndtering og SBOM-transparens.

Dette kompletteres av UL 2900-2-3, der kameraer testes av en uavhengig part med strukturert sårbarhetsanalyse og validering av motstandsdyktighet i selve enheten.

– Dette er sertifiseringer som kan granskes, verifiseres og følges opp per modell og per firmwareversjon, ikke bare refereres til i en produktbeskrivelse.

Ikke bare minimumsnivået

Sean Österborg mener at det avgjørende er at Keenfinity arbeider etter prinsippet «secure by default».

– Kunden skal ikke måtte «bygge sikkerhet» etter installasjon – den skal allerede være på plass. Forskjellen er tydelig: enkelte sertifiseringer viser at man oppfyller minimumsnivået. Vi sertifiserer, dokumenterer og drifter systemene våre slik at sikkerheten er robust, gjennomgått og bærekraftig i drift. Det er dette som kreves når kamera- og videodata er en del av organisasjonens faktiske sikkerhetsevne, ikke bare en videostrøm på en skjerm. Våre sertifiseringer er ikke papirprodukter, sier han.

En klassifisert ressurs

Tilkoblede kamerasystemer genererer ikke bare video, men også rike metadata om hendelser, bevegelser og tidspunkter. Disse dataene er i praksis virksomhetsinformasjon og må derfor håndteres som en klassifisert ressurs, mener Sean Österborg.

– Det innebærer tydelig tilgangsstyring, der ulike roller har ulike tilgangsnivåer, og det skal være definert hvem som kan se hva, når og i hvilken form.

Han mener også at arbeidsmåten må moderniseres.

– I stedet for manuelt å gå gjennom råvideo bør etterforskning baseres på metadata og AI-drevet analyse. Det gjør at relevante hendelser identifiseres raskere, samtidig som eksponeringen av persondata reduseres.

Grunnleggende konfigurasjonsfeil

De vanligste feilene virksomheter gjør når det gjelder cybersikkerhet i sine kamerabevakningsløsninger, er ifølge Sean Österborg grunnleggende konfigurasjonsmangler som standardpassord, delte kontoer, kameraer i samme nettverk som «kontor-IT» og ukryptert trafikk.

– Uten segmentering, sertifikathåndtering med mer kan en kompromittert klient gi tilgang til hele videoinfrastrukturen. Protokoller og porter som forblir aktive eksponerer dessuten videostrømmer mot internett, sier han og oppsummerer sitt syn:

– Segmenter nettverket, sikre firmware og lagring, etabler sporbarhet og arbeid metadata-sentrert – ellers blir kamerasystemet en undervurdert angrepsflate.

AI – en ressurs og en trussel

AI vil kraftig forbedre evnen til å oppdage avvik og automatisere korrelasjoner mellom nettverkstrafikk, tilgangslogger og kamerahendelser, noe som gjør sikkerhetsarbeidet både proaktivt og skalerbart, understreker Sean Österborg.

– Men den samme teknologien øker også angripernes kapasitet. Automatiserte skript kan raskt teste tusenvis av konfigurasjoner, phishing blir mer troverdig, og angripere kan forsøke å manipulere inndata eller modeller for å undergrave deteksjon.

Risiko ved dårlig trente videoanalysemodeller

Særlig alvorlig mener Sean Österborg at risikoen er knyttet til dårlig trente eller svakt forvaltede videoanalysemodeller. Dataforgiftning, modell-drift og «adversarial patterns» kan føre til at et system systematisk overser eller feiltolker hendelser.

– Mange kommersielle modeller mangler robust testing mot slike angrep, gjenbruker åpne datasett uten kontekst eller validering, og har mangelfull sporbarhet i treningsdataene. Dette er faktorer som i praksis gjør dem «enkle» å omgå, avslutter han.