Onderzoek naar slimme televisies van LG roept nieuwe vragen op over privacy en informatiebeveiliging. Volgens onderzoek van Gamers Nexus, Level1Techs en onafhankelijke beveiligingsonderzoekers verzamelen geteste LG-tv’s aanzienlijk meer gegevens dan gebruikers waarschijnlijk verwachten. Daarbij gaat het onder meer om informatie over apparaten op het lokale netwerk, kijkgedrag en audio. Opvallend is dat bepaalde gegevensverzameling volgens de onderzoekers ook doorgaat wanneer een televisie in stand-by staat of tijdelijk geen internetverbinding heeft.
Wat is er gebeurd?
Gamers Nexus onderzocht samen met Level1Techs en beveiligingsonderzoekers verschillende LG OLED-televisies. Daarbij werd onder meer het netwerkverkeer van de apparaten geanalyseerd. Uit die tests kwam naar voren dat de televisies het lokale netwerk kunnen scannen en daarbij andere apparaten ontdekken, zoals smartphones en smartwatches. Volgens het onderzoek werden daarnaast gegevens over de locatie en nabijgelegen wifi-netwerken geregistreerd. Een deel van de verzamelde informatie zou terechtkomen bij LG Ad Solutions, de advertentietak van LG.
Meer zorgen zijn er over de microfoon. De onderzoekers stellen dat een geteste televisie audio kon vastleggen terwijl het apparaat in stand-by stond. Wanneer de internetverbinding werd verbroken, konden audiogegevens lokaal worden opgeslagen. Zodra de televisie opnieuw verbinding kreeg, konden deze gegevens alsnog worden verzonden. Ook Automatic Content Recognition (ACR) speelt een rol. Deze technologie probeert automatisch te herkennen welke content iemand bekijkt. Dat kan niet alleen betrekking hebben op apps die rechtstreeks op de televisie draaien, maar ook op beeld en geluid van apparaten die bijvoorbeeld via HDMI zijn aangesloten. ACR is overigens geen technologie die uitsluitend door LG wordt gebruikt; vergelijkbare technieken komen bij meerdere fabrikanten van smart-tv’s voor.
De bevindingen zijn gebaseerd op onderzoek van specifieke LG-apparaten. Ze betekenen daarom niet automatisch dat ieder model onder alle omstandigheden hetzelfde gedrag vertoont.
Waarom is dit relevant voor BIO2?
Voor organisaties die met de Baseline Informatiebeveiliging Overheid (BIO2) werken, laat dit onderzoek vooral zien waarom ook ogenschijnlijk alledaagse slimme apparaten onderdeel moeten zijn van risicomanagement.
Een smart-tv in een vergaderruimte is tegenwoordig feitelijk een netwerkapparaat met software, sensoren en communicatiemogelijkheden. Het apparaat kan toegang hebben tot internet, verbinding maken met andere systemen en beschikken over een microfoon. Daardoor kan het een informatiebeveiligings- en privacyrisico vormen dat verder gaat dan de oorspronkelijke functie als beeldscherm. Vanuit BIO2 is daarom niet alleen de beveiliging van laptops, servers en mobiele telefoons relevant. Organisaties moeten zicht hebben op alle apparatuur die verbinding maakt met hun netwerken en beoordelen welke gegevens die apparatuur verzamelt en met externe partijen deelt. Dat sluit aan bij risicomanagement, assetmanagement en het beheersen van risico’s bij leveranciers.
Ook vanuit ISO 27001 is die benadering herkenbaar: organisaties moeten informatiebeveiligingsrisico’s systematisch identificeren en passende maatregelen nemen. Een belangrijk aandachtspunt is daarbij de afhankelijkheid van leveranciers en technologie waarvan de gegevensverwerking niet altijd direct zichtbaar is voor de gebruiker.
Bron: tweakers.net