Cybersecurity per videosorveglianza urbana: proteggere l’infrastruttura

La videosorveglianza come vettore di attacco

Una rete di telecamere IP urbane, se mal protetta, può diventare un cavallo di Troia per attaccanti. Casi famosi di botnet (Mirai 2016) hanno sfruttato decine di migliaia di telecamere IP con password di default. Per una Pubblica Amministrazione la sicurezza cyber è critica: ransomware alla control room comunale può paralizzare servizi sicurezza.

Minacce tipiche

Intrusione esterna

• Exploit firmware non aggiornato
• Brute force credenziali
• Man-in-the-middle su stream

Compromissione interna

• Operatore infedele
• Accesso non autorizzato
• Esportazione illegittima

Denial of Service

• Flood di rete
• Disconnessione malevola
• Sabotaggio fisico

Privacy breach

• Esportazione massiva
• Pubblicazione illecita
• Ransomware con minaccia divulgazione

Architettura sicura

Segmentazione di rete

• VLAN dedicata videosorveglianza
• Separata da VLAN dati municipali
• Separata da Internet pubblico
• Firewall tra VLAN con regole restrittive

Autenticazione forte

• Password complesse uniche per device
• Nessuna password di default
• 2FA per accesso VMS
• Certificati X.509 per comunicazione device-server

Cifratura

• TLS 1.3 per streaming
• SRTP per video over IP
• HTTPS per management
• Cifratura at-rest su archiviazione

Firmware management

• Policy di aggiornamento controllato
• Test pre-produzione
• Rollback plan
• CVE monitoring

Audit e monitoring

• SIEM per aggregare log
• Alert comportamenti anomali
• Retention log 6-12 mesi
• Review periodica accessi

Vendor e rischi geopolitici

• Hikvision/Dahua: Entity List USA, restrizioni UE infrastrutture critiche
• Axis: raccomandato per infrastrutture pubbliche e sensibili
• Per comuni italiani: valutazione caso per caso con DPIA rafforzata

Normativa e framework

• AgID Circolare 4/2017: misure minime di sicurezza ICT per PA
• NIS2 Directive (UE): security per servizi essenziali
• Perimetro di Sicurezza Cibernetica Nazionale: per infrastrutture critiche
• ISO 27001: framework sicurezza informazioni
• ACN (Agenzia Cyber Nazionale): linee guida e audit

Piano incident response

1. Detection (SIEM alert)
2. Contenimento (isolare device compromesso)
3. Eradicazione (rimuovere malware, patch vulnerability)
4. Recovery (ripristino da backup)
5. Lesson learned
6. Notifica Garante se breach dati

Ridondanza e resilienza

• HDD RAID per archiviazione
• NVR secondario per fail-over
• Alimentazione UPS + gruppo elettrogeno
• Connettività ridondata (fibra principale + LTE backup)
• Backup offsite ricorrenti

Hardening checklist

• [ ] Disabilitare UPnP/ONVIF non usati
• [ ] Cambiare default credentials
• [ ] Disabilitare protocolli non cifrati (HTTP, Telnet)
• [ ] Chiudere porte non essenziali
• [ ] Aggiornare firmware all’ultima versione
• [ ] Attivare firewall on-device dove supportato
• [ ] Configurare whitelist IP per accesso management
• [ ] Disabilitare cloud services non richiesti
• [ ] Abilitare logging estensivo
• [ ] Backup configurazioni

Integrazione con Home Assistant e security monitoring

In contesti misti (comune piccolo + Home Assistant come supervisore smart), la sicurezza cyber richiede attenzione particolare: HA deve essere dietro firewall, autenticato con 2FA, segmentato su VLAN isolata. Le integrazioni con telecamere devono usare protocolli cifrati (HTTPS, SRTP). Per installazioni professionali è raccomandato coinvolgere security architect specializzati.

Formazione del personale

• Awareness cyber
• Procedure gestione credenziali
• Riconoscimento phishing
• Procedura incident reporting
• Esercitazioni annuali

FAQ

Un attacco può fermare la control room?

Sì, ransomware può cifrare VMS. Backup offline e ridondanza riducono impatto.

Cloud videosorveglianza è meno sicuro?

Dipende. Cloud pro (AWS, Azure) hanno SLA alti ma concentrano rischi. On-premise ben difeso è spesso più sicuro per PA.

Quanto costa sicurezza cyber?

10-20% del CAPEX totale in progettazione. Audit annuali 5-15.000€. SOC esterno 20-100.000€/anno per comuni medi.

Come verificare vulnerabilità?

Penetration test annuali. Vulnerability assessment mensile con tool automatici (Nessus, Qualys).

Si devono pubblicare breach?

Sì al Garante entro 72h. Comunicazione agli interessati se alto rischio.

Cosa fare se sospetti attacco in corso?

Attivare piano IR, isolare sistemi, notificare CSIRT-AGID, documentare ogni azione.

AgID fornisce linee guida?

Sì, “Misure minime di sicurezza ICT per le Pubbliche Amministrazioni” aggiornate periodicamente.