Cybersikkerhet for AV-utstyr: Den glemte angrepsflaten i møterommet

Dere har brannmur, MFA og strenge passordkrav på alt fra e-post til CRM. Men hva med den interaktive skjermen i møterom 3? All-in-one kameraet i styrerommet? Infoskjermen i resepsjonen? For de fleste bedrifter er svaret: "vi vet ikke".

AV-utstyr kobles til nettverket, får en IP-adresse, og blir stort sett glemt – helt til noen spør hvorfor det ligger unormal trafikk fra en skjerm som aldri skulle snakke med noe annet enn Teams.

Hvorfor de fleste glemmer AV-utstyr i sikkerhetsrutinene

IT-avdelingen tenker naturlig nok først på servere, bærbare PC-er og telefoner når sikkerhet diskuteres. AV-utstyr havner ofte i en annen boks – «teknisk installasjon», ikke «IT-utstyr» – selv om et moderne møteromskamera, en digital skjerm eller en trådløs presentasjonsenhet i praksis er en fullverdig datamaskin koblet til bedriftsnettet. Den kjører et operativsystem (ofte Android OS), mottar oppdateringer (eller oftest mottar dem ikke), og kommuniserer over nettverket akkurat som en laptop.

Vi har tidligere skrevet om hva som skjer med gammelt AV-utstyr når man oppgraderer – og der er nettopp datasikkerhet en av grunnene til at vi tar tilbake og nullstiller utstyr fagmessig i stedet for at det havner i et skap eller en søppelcontainer med gjenværende nettverkskonfigurasjon og tilgangsdata. Det samme utstyret som er sårbart ved kassering, er sårbart i daglig drift dersom det ikke er del av en oppdaterings- og tilgangsrutine.

Tenk deg følgende, helt vanlige scenario: et kontorbygg installerer ti nye møteromsskjermer og fem infoskjermer i fellesarealet. Alle kobles til gjestenettet fordi det var enklest der og da. Ett år senere har ingen av dem fått en eneste fastvareoppdatering, admin-passordet er fortsatt det skjermen kom med fra fabrikk, og skjermene har full tilgang til samme nettverkssegment som ansattes bærbare PC-er.

Ingen har gjort noe galt bevisst – utstyret bare «fungerte», og da var det ingen grunn til å tenke mer på det. Det er nettopp denne stillheten som gjør AV-utstyr til et attraktivt mål:

det er sjelden overvåket, sjelden oppdatert, og ofte har det mer nettverkstilgang enn noen egentlig har tenkt gjennom.

Cybersikkerhet for AV-utstyr – hvor sårbarhetene faktisk ligger

Cybersikkerhet for AV-utstyr handler i praksis om tre ting: hvem utstyret snakker med, hvilken programvare det kjører, og hvem som har tilgang til å endre innstillinger.

• Standardpassord og åpne porter: mange skjermer, kameraer og signage-spillere leveres med standard admin-passord som aldri byttes. Det er en åpen dør inn i nettverket.

• Manglende fastvareoppdateringer: i motsetning til PC-er oppdateres ikke AV-utstyr automatisk med mindre noen aktivt setter opp rutiner for det. Kjente sårbarheter kan stå åpne i årevis.

• Feil nettverkssegmentering: AV-utstyr bør ligge på et eget VLAN, adskilt fra økonomisystemer og sensitive data – men blir ofte koblet rett på hovednettet fordi «det bare skal vise en presentasjon».

• Ukontrollert fjerntilgang: enkelte AV-plattformer tilbyr skytilkobling for fjernstyring og diagnostikk. Nyttig, men det må konfigureres riktig – ellers blir det en bakdør ingen visste var åpen.

Som autorisert partner for bl.a. Neat, Barco og Samsung (se komplett liste av våre partnere her) ser vi at seriøse leverandører tar dette på alvor: Neat-enheter kjører på et hardnet Android-grunnlag med sentralisert enhetsstyring, Barco ClickShare har egne sikkerhetsprotokoller for trådløs presentasjon, og Samsungs profesjonelle skjermer støtter sentral administrasjon og fastvarestyring. Problemet er sjelden utstyret i seg selv – det er mangelen på rutiner rundt det.

Praktiske tips: Slik sikrer dere møteromsutstyret

• Bytt standardpassord på alt AV-utstyr ved installasjon – skjermer, kameraer, signage-spillere og lydprosessorer inkludert.

• Sett AV-utstyr på et eget VLAN, adskilt fra kontornettet og sensitive systemer.

• Avtal fastvareoppdatering som del av support-avtalen, ikke som noe som skjer «når noen har tid».

• Kartlegg fjerntilgang og skytilkoblinger for hvert produkt, og steng det dere ikke aktivt bruker.

• Inkluder AV-utstyr i IT-avdelingens enhetsoversikt, ikke bare i «teknisk drift»-regnearket til vaktmester eller resepsjon.

• Ha en klar rutine for kassering av gammelt utstyr, med fabrikknullstilling og fjerning av nettverkstilgang før det forlater bygget.

Jan E. Slåtto-Jensen (Daglig leder og Løsningsarkitekt, AV Signage AS)

Oppsummering

AV-utstyr er ikke lenger «bare en skjerm» – det er en datamaskin på nettverket deres, med samme sårbarheter som alt annet utstyr dersom det ikke følges opp.

Cybersikkerhet for AV-utstyr handler ikke om å skremme, men om å ta med møterom, infoskjermer og kameraer i den samme sikkerhetstenkningen som resten av IT-parken. Det koster lite å gjøre riktig fra start – bytte passord, sette riktig nettverkssegment og avtale oppdateringsrutiner – sammenlignet med kostnaden ved at noe går galt.

Er dere usikre på om møteromsutstyret deres er satt opp riktig? Ta kontakt med oss for en gjennomgang. Ring 488 488 10, send en epost til hei@avsignage.no eller bruk vårt kontaktskjema.