A segurança de sistemas de áudio e vídeo começa no projeto, antes de qualquer equipamento ser ligado. Processador de áudio, controladora, painel de toque, câmera, codificador de vídeo e tela profissional têm endereço IP, sistema operacional e página de configuração. Para a rede do cliente, cada um deles é um dispositivo de TI como outro qualquer, e precisa ser tratado assim. Este texto descreve o que a ATIV coloca no projeto para reduzir o risco, usando como referência a prática recomendada AVIXA RP-C303.01:2018, e termina dizendo o que não afirmamos.
Por que o equipamento de áudio e vídeo está na rede
Há alguns anos, o sinal de uma sala corria em cabos dedicados e o controle em uma porta serial. Hoje o áudio trafega em rede, o vídeo é distribuído por IP, o painel de toque fala com o processador por Ethernet e a equipe de suporte acessa tudo a distância. Isso trouxe roteamento por software e diagnóstico remoto, e trouxe também a superfície de ataque de qualquer equipamento conectado.
As fragilidades típicas são conhecidas: senha padrão de fábrica que nunca foi trocada, portas e serviços abertos sem uso, comunicação em texto claro, firmware desatualizado e contas compartilhadas por várias pessoas. Um equipamento nessas condições pode servir de porta de entrada para a rede corporativa, ou expor o que se fala e se mostra em uma sala de conselho.
O que separar: VLAN de vídeo, de áudio e de controle
A primeira medida é de arquitetura. O projeto separa o tráfego por função em redes virtuais (VLAN, conforme a IEEE 802.1Q): uma para o vídeo, uma para o áudio, uma para o controle e, quando o porte pede, uma para a gestão dos equipamentos. A separação atende a dois objetivos ao mesmo tempo. O de desempenho, porque o tráfego multicast de áudio e vídeo fica contido e não disputa banda com a rede de escritório. E o de segurança, porque um computador da rede corporativa deixa de enxergar diretamente o processador da sala.
O que atravessa de uma rede para outra passa por regra escrita. O painel de agendamento precisa falar com o servidor de calendário, o computador do operador precisa abrir a interface de controle e a equipe de suporte precisa de um caminho de acesso remoto. Cada um desses caminhos é listado no projeto e liberado pela TI, e o restante fica bloqueado. A página de rede para sistemas audiovisuais detalha como dimensionamos switches e VLANs, e o guia de AV over IP e infraestrutura de rede trata de multicast e de qualidade de serviço.
A conta de quem acessa o painel
Toda senha padrão é trocada antes de o equipamento ir para a rede do cliente, não depois. As novas senhas seguem a política da organização (tamanho, troca, guarda) e são entregues ao responsável indicado pelo cliente, em documento separado dos desenhos.
O projeto também separa perfis. Quem opera a sala precisa ligar o sistema, escolher a fonte e ajustar o volume; não precisa alterar roteamento, endereço IP ou programação. Quem administra tem conta própria, nominal sempre que o equipamento permite, com o mínimo de permissão necessário para a tarefa. Uma conta única, compartilhada por operadores, terceirizados e fornecedor, impede saber quem fez o quê e obriga a trocar a senha de todos quando uma pessoa sai.
O painel de toque merece atenção própria, porque fica ao alcance de qualquer pessoa que entre na sala. As páginas de configuração ficam atrás de senha, e as funções que afetam outras salas ou o prédio não aparecem na tela do usuário comum.
Serviços, portas e protocolos documentados
Muitos equipamentos saem de fábrica com serviços ligados que a instalação não usa: servidor web sem criptografia, acesso por terminal em texto claro, descoberta automática, compartilhamento de arquivos. O que não é usado é desativado. Onde existe alternativa criptografada, ela substitui a versão aberta, como HTTPS no lugar de HTTP na página de administração.
Para cada dispositivo, a documentação lista as portas e os protocolos de entrada e de saída: o que ele precisa receber, de quem, e com quem ele precisa falar. Essa tabela permite à TI escrever as regras de firewall e de lista de acesso sem adivinhar, e permite auditar depois. Ela entra no conjunto de documentos do projeto, junto com o diagrama de interligação e os dados de rede, e é corrigida no as built para refletir o sistema como ficou instalado.
Dispositivo pessoal e rede de convidados
Salas de reunião recebem notebooks e celulares de visitantes, que precisam apresentar conteúdo sem fio ou usar a câmera e o microfone da sala. Esses aparelhos não entram na rede do audiovisual nem na rede corporativa. O projeto prevê uma rede de convidados separada, e o equipamento de apresentação sem fio é configurado de modo que o visitante alcance apenas a função de compartilhar tela. Quando uma ponte entre a rede de convidados e a da sala é inevitável, ela é estreita, documentada e aprovada pela TI.
Firmware e o que fica no contrato de manutenção
Firmware desatualizado acumula falhas conhecidas. Firmware atualizado sem critério pode quebrar a integração: uma versão nova de uma tela ou de uma câmera muda um comando, e o controle para de responder na véspera de um evento. Por isso a atualização é tratada como processo. A versão instalada de cada equipamento é registrada na entrega. A nova versão tem as notas do fabricante lidas, é testada antes em bancada ou em ambiente de teste, quando ele existe, é aplicada em janela combinada e é seguida de uma verificação das funções da sala. A ATIV usa o laboratório próprio, em Cotia, para esse tipo de teste quando a plataforma está entre as que mantemos em funcionamento ali.
Quem faz isso depois da entrega depende do contrato. Sem contrato de manutenção, a tarefa de acompanhar boletins de segurança e aplicar correções fica com a equipe do cliente, e isso precisa estar claro no encerramento do projeto. Com contrato de manutenção, a periodicidade de revisão, a forma de acesso remoto, o prazo de resposta e o tratamento de correções urgentes são definidos em contrato. O mesmo vale para a guarda das senhas administrativas e dos arquivos de programação.
Segurança de sistemas de áudio e vídeo se combina com a TI
Nenhuma dessas medidas funciona se for decidida só pelo integrador. A rede é do cliente, e a política de segurança também. No início do projeto, a ATIV apresenta à equipe de TI a lista de dispositivos, o que cada um precisa da rede e os riscos identificados. Dali sai um registro de riscos com a mitigação escolhida para cada item e o responsável por ela: o que se resolve com segmentação, o que se resolve com configuração do equipamento, o que depende de processo do cliente e o que fica como risco aceito.
Esse plano acompanha a obra. No comissionamento, os itens de rede e de segurança entram na lista de verificação junto com os de áudio e de vídeo: senhas trocadas, serviços desativados, VLANs conforme o projeto, acessos testados com cada perfil. Onde o sistema audiovisual convive com câmeras e controle de acesso, a mesma lógica de segregação se aplica, como descrevemos em segurança eletrônica e CFTV.
O que a ATIV não afirma
A ATIV é uma integradora de áudio e vídeo. Não operamos um centro de operações de segurança (SOC) próprio, não monitoramos a rede do cliente em busca de incidentes e não temos certificação de segurança da informação para apresentar. Também não dizemos que um sistema instalado por nós é imune a ataque; nenhum fornecedor pode afirmar isso.
O que fazemos é entregar o sistema audiovisual configurado segundo práticas publicadas, documentado de forma que a TI consiga protegê-lo, e com as responsabilidades de manutenção escritas. A detecção e a resposta a incidentes continuam com a equipe de segurança do cliente ou com quem ela contratar. Se o seu projeto tem requisitos específicos de segurança, eles devem entrar no programa de necessidades. Fale com a ATIV para incluí-los no escopo desde o início.
Fontes
Documentos usados como referência de projeto neste texto:
- AVIXA RP-C303.01:2018, Recommended Practices for Security in Networked AV Systems.
- ANSI/AVIXA D401.01:2023, Documentation Requirements for Audiovisual Systems.
- ANSI/INFOCOMM 10:2013, Audiovisual Systems Performance Verification.
- IEEE 802.1Q, redes locais virtuais (VLAN).