Vermeintliche Digital Signage-Security

In einem provokanten Gastkommentar auf invidis Sixteen-Nine deckt Screenly-Gründer Viktor Petersson einen kritischen blinden Fleck in der IT-Security von Digital Signage auf: die Illusion von Sicherheit, die durch Compliance-Zertifikate wie ISO 27001 und SOC 2 erzeugt wird. Diese Zertifizierungen verbessern zwar die allgemeine IT-Hygiene – wie Notfallwiederherstellungspläne, Multifaktor-Authenzifierung (MFA) und Device Management vor – berücksichten aber oft nicht die Hardware die Digital Signage-Netzwerke antreibt. Petersson warnt, dass veraltete, anfällige Betriebssysteme auf Signage-Playern ISO27001/SOC2 Compliance-Audits bestehen können und Unternehmen trotz des Anscheins von IT-Security angreifbar sind.

Er berichtet von der letzten ISE, bei denen Anbieter stolz neue Digital Signage Lösungen auf Basis längst veralteter Android-Versionen auf den Markt brachten, ohne realistische Möglichkeit für Sicherheitspatches. SoC-Displays mit veraltertem Betriebssystem unterliegen nicht den Zertifizierungs-Frameworks und können zu einem leichten Ziel für Angreifer werden. Petersson argumentiert, dass es unverantwortlich sei, sich als Hersteller darauf zu verlassen, dass Kunden Geräte manuell aktualisieren, und dass Hersteller proaktiv durch OTA-Updates und ein robustes Device Management Verantwortung übernehmen müssen.

Die eigentliche Bedrohung, betont er, sei nicht nur die öffentliche Blamage durch gehackte Screens – es bestehe das Risiko, dass kompromittierte Signage-Geräte als Einstiegspunkte in Unternehmensnetzwerke dienen. Eine kürzlich auf dem Hackertreffen DEFCON gezeigte Demonstration zeigte, wie Angreifer über ein veralterten Signage-Device in ein Unternehmensnetzwerk eindrangen. Die Digital Signage Hardware war nicht Ziel der Attacke sondern nur das Einfallstor. Ein Hack der die Dringlichkeit unterstreicht, diese IT-Security Lücken zu schließen.

Petersson sieht Hoffnung im kommenden Cyber ​​Resilience Act der EU (CRA), der voraussichtlich Software Bill of Materials (SBOMs) für Transparenz und Schwachstellenverfolgung vorschreiben wird. Da immer häufiger IT-Abteilungen die Bereitstellung von Signage-Geräten kontrollieren, wird eine genauere Prüfung durch Tools wie TPRM zum Standard. Wenn der CRA sein Versprechen einhält, könnte er endlich die Compliance-Lücke schließen und die Branche zu sinnvoller, überprüfbarer IT-Security führen.

Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren

Video laden

YouTube immer entsperren