Je camerasysteem beveiligen tegen misbruik
Een camerasysteem is een netwerk vol apparaten die dag en nacht aanstaan, zelden updates krijgen en vaak nog het wachtwoord van de installateur hebben. Precies daarom is het een geliefd doelwit — niet om mee te kijken, maar om als opstapje het rest van je netwerk in te komen. Dit is wat wij standaard doen, en wat je zelf kunt controleren.
Hoe beveilig je een camerasysteem tegen misbruik?
Vijf maatregelen voorkomen samen het grootste deel van wat er misgaat. Geen camera rechtstreeks aan het internet, camera’s in een eigen netwerksegment, eigen accounts in plaats van een gedeeld wachtwoord, tweestapsaanmelding voor toegang van buitenaf, en firmware die daadwerkelijk wordt bijgewerkt.
Er is een lange lijst met maatregelen die je kúnt nemen. Deze vijf voorkomen samen het overgrote deel van wat er in de praktijk misgaat.
- Geen camera rechtstreeks aan het internet. Geen doorgezette poorten, geen “even tijdelijk”. Zo belanden systemen op openbare lijsten van vindbare apparaten. Meekijken van buitenaf regel je via de beveiligde cloudkoppeling van het systeem zelf.
- Eigen wachtwoorden op elke camera. Fabrieksinstellingen zijn openbaar. Eén camera met het standaardwachtwoord is genoeg om binnen te komen, en de rest volgt vanzelf.
- Camera’s in een eigen netwerksegment. Een apart VLAN waar alleen de opnameserver bij kan. Gaat er dan toch iets mis, dan blijft het beperkt tot dat segment en staat de rest van je bedrijfsnetwerk er niet open.
- Eigen accounts per persoon, geen gedeeld beheerdersaccount. Anders staat bij elke handeling in het logboek dezelfde naam en weet je achteraf niets.
- Bijhouden wat er draait. Firmware en systeemversies verouderen. Je hoeft niet elke week te updaten, maar je moet wel weten wat er staat en wanneer het voor het laatst is aangeraakt.
Wat er in het systeem zelf zit
Versleuteld verkeer
Verkeer tussen server, camera’s en clients kan versleuteld. Dat voorkomt meelezen op het netwerk, en het is een instelling die je aanzet, niet iets dat vanzelf goed staat.
Archiefversleuteling
Het opgeslagen beeld kan versleuteld worden weggeschreven. Neemt iemand een schijf mee, dan heeft hij er niets aan buiten het systeem om.
Tweestapsverificatie
Verplicht te stellen voor iedereen die via de cloudomgeving inlogt. Voor organisaties die van buitenaf laten meekijken is dat een minimumeis.
Logboek van alles
Alle handelingen én alle aanmeldingen komen in het logboek: wie keek, wat werd opgevraagd, wat werd geëxporteerd of gewijzigd. Bij een audit is dat het verschil tussen aantonen en aannemen.
De koppeling met je eigen gebruikersbeheer
De vraag die in elk ISO-traject terugkomt: gaat iemand die uit dienst gaat er ook echt uit? Handmatig bijhouden gaat een tijdje goed en dan niet meer.
Koppel het rechtenbeheer daarom aan je bestaande gebruikersdatabase. Die synchroniseert standaard elke 10 minuten, inclusief groepen: haal je iemand uit de groep, dan is de toegang tot de camerabeelden binnen 10 minuten weg. Het is de enige variant die niet afhangt van iemand die eraan denkt. Zie gebruikersbeheer.
Wat wij aantreffen bij een overname
Wij nemen regelmatig systemen over van andere leveranciers. Dit komen we bijna altijd tegen, in deze volgorde:
Accounts van mensen die er niet meer werken. In vrijwel elk systeem. Vaak inclusief het account van de vorige installateur, dat nog volledige rechten heeft.
Eén beheerderswachtwoord dat rondgaat. Acht mensen, één account, geen spoor van wie wat deed.
Camera’s met fabrieksinstellingen. Meestal de camera’s die er later bij zijn gezet, buiten het oorspronkelijke project om.
Een doorgezette poort uit 2019. Ooit aangelegd om iemand op afstand te laten kijken, nooit meer dichtgezet.
Dat is met een dag werk op te ruimen. Wij lopen het systeem door, zetten de rechten goed, koppelen aan je gebruikersadministratie en leggen vast wat er staat. Daarna blijft het vanzelf goed.
“Wij verwijzen je niet door. Als er iets niet klopt, lossen wij het op.”
Veelgestelde vragen over beveiliging van het camerasysteem
Kan iemand van buitenaf meekijken met onze camera’s?
Alleen als het systeem van buitenaf bereikbaar is gemaakt, meestal door een doorgezette poort of een camera die rechtstreeks aan het internet hangt. Zit alles achter de firewall en loopt toegang via de beveiligde cloudkoppeling met tweestapsverificatie, dan is dat scenario praktisch uitgesloten.
Twijfel je? Dat controleren wij van buitenaf voor je, ook op systemen die niet bij ons vandaan komen.
Moeten camera’s in een apart VLAN?
Wij doen dat standaard. Het kost bij aanleg nauwelijks extra en het beperkt de schade als er ooit iets misgaat. Bij een bestaand systeem is het achteraf ook nog te doen; dat vraagt een avond werk en een goed gesprek met je netwerkbeheerder.
Hoe vaak moeten we updaten?
Niet bij elke uitgave, wel gepland. Wij wachten meestal tot een versie is uitgehard en plannen de update dan buiten kantoortijd, nadat we hebben gecontroleerd of alle camera’s, plug-ins en koppelingen meekomen. Wat je niet moet doen is jarenlang niets doen: dan wordt de sprong groot en het risico ook. Wat er precies veroudert — en welke datum in 2027 daarbij vaststaat — staat uitgewerkt bij verouderde techniek in je camerasysteem.
Kan iemand beelden verwijderen zonder dat we het zien?
Verwijderen is een recht dat je apart toekent, en dat leggen wij standaard bij een zeer kleine groep. Bovendien komt elke handeling in het logboek. Wil je zeker weten dat archief niet buiten het systeem om te bekijken is, dan zet je archiefversleuteling aan.
Wat betekent de AVG hiervoor?
Camerabeelden zijn persoonsgegevens, dus je moet kunnen aantonen wie erbij kan, hoe lang je bewaart en waarom. Een vaste bewaartermijn bestaat niet meer: de Autoriteit Persoonsgegevens zegt niet langer dan noodzakelijk, met ruimte om beelden van een incident langer te bewaren tot de zaak is afgehandeld. Het logboek is precies het bewijs dat daarbij gevraagd wordt.
Wij hebben een ISO-traject lopen. Wat vragen ze meestal?
Drie dingen: wie heeft toegang en hoe wordt dat ingetrokken, hoe lang bewaren jullie en waarom, en kun je aantonen wie wat heeft bekeken. Alle drie zijn ze met de juiste inrichting gewoon te beantwoorden. Wij leveren die onderbouwing aan voor de systemen die wij beheren.
Laat je systeem een keer doorlichten
Wij kijken van buitenaf én van binnenuit: wat staat er open, wie kan erbij, en wat draait er nog op fabrieksinstellingen. Ook op systemen die niet bij ons vandaan komen.
Even overleggen
Vragen over jouw situatie? Bel Eline.
Ziet beveiliging en netwerk als een vakgebied. Levert op zoals ze het zelf zou willen aantreffen. Leg je situatie voor en je hoort meteen wat wij zouden doen — zonder dat je ergens aan vastzit.
Eline Klaver · Beveiligingsadviseur en gecertificeerd technica
Meer weten
Verder lezen
- Verouderde techniek in je camerasysteem
- Gebruikers en rechten in je camerasysteem Rechten per rol en per locatie, gekoppeld aan je eigen gebruikersdatabase zodat uit dienst ook echt…
- Je camerasysteem doorlichten: de jaarlijkse ronde De lijst die wij aflopen bij een doorlichting, en wat er bijna altijd uit komt.
- De AVG en je camerasysteem, praktisch Grondslag, afweging, register en effectbeoordeling, plus de vijf dingen die wij het vaakst fout aantreffen.
- Het netwerk onder je camerasysteem Waarom het meestal het netwerk is en niet de camera, en hoe wij het inrichten zodat…
- Live Streaming Time Limit Reached in Nx Witness: wat het is en hoe je het oplost