Lần đầu tiên hệ thống hóa các yêu cầu bảo mật với IP Camera

Suốt một thời gian dài, thị trường IP Camera tại nước ta hầu như không có tiêu chuẩn kỹ thuật bắt buộc riêng về an ninh mạng. Thiết bị lưu thông trên thị trường chủ yếu dựa trên các tiêu chuẩn chất lượng phần cứng thông thường hoặc tiêu chuẩn tự công bố của nhà sản xuất. Trong khi đó, cùng với xu hướng chuyển đổi số, xây dựng đô thị thông minh, IP Camera đã trở thành thiết bị không thể thiếu ở mọi đơn vị, doanh nghiệp và gia đình, trở thành những “mắt thần” giúp quản lý, giám sát trụ sở, tài sản và bảo đảm an ninh trật tự. Tuy nhiên, sự phát triển nhanh về số lượng không đi cùng với việc tăng cường các giải pháp an ninh mạng đã biết IP Camera đã trở thành “mồi ngon” cho tin tặc. Trước tình hình đó, Quy chuẩn kỹ thuật quốc gia về thiết bị camera giám sát sử dụng giao thức Internet đã tạo hành lang pháp lý và kỹ thuật cốt lõi, chuẩn hóa chất lượng thiết bị, bảo vệ dữ liệu cá nhân của người dân và bảo đảm an ninh quốc gia trên không gian mạng.

Kiểm soát nghiêm ngặt với “Mật khẩu mặc định”

Một “căn bệnh” phổ biến của người dùng là giữ nguyên mật khẩu mặc định của nhà sản xuất (như admin, 1234, 123456, 00000) nên nhiều IP Camera vận hành với trạng thái “mở cửa”. Tin tặc chỉ cần sử dụng các công cụ quét tự động là có thể truy cập, tấn công, khai thác dữ liệu hàng nghìn IP Camera đang hoạt động. Để khắc phục khuyết điểm này, Quy chuẩn nghiêm cấm thiết bị sử dụng mật khẩu mặc định có sẵn cho trạng thái hoạt động. Khi người dùng kích hoạt thiết bị lần đầu, hệ thống phần mềm của IP Camera phải bắt buộc người dùng thay đổi mật khẩu mạnh theo quy định. Đồng thời, hệ thống quản trị của IP Camera phải có cơ chế tự động khóa tài khoản hoặc kéo dài thời gian chờ nếu phát hiện hành vi đăng nhập sai liên tiếp, nhằm vô hiệu hóa các cuộc tấn công dò mật khẩu.

Bảo mật ngay trên phần mềm (Firmware) của thiết bị

Các dòng IP Camera giá rẻ trên thị trường hiện nay thường không nhận được các bản cập nhật để vá lỗi, câp nhật hệ điều hành của camera, khiến thiết bị luôn trong trạng thái nguy hiểm. Vì vậy, việc bắt buộc nhà sản xuất phải cam kết duy trì cơ chế cập nhật, vá lỗi bảo mật an toàn cho thiết bị trong suốt vòng đời sản phẩm, xác thực chữ ký số đối với tất cả các bản cập nhật firmware... sẽ góp phần ngăn chặn việc tin tặc giả mạo gói cập nhật để chèn mã độc, khai thác các lỗ hỏng bảo mật để cài cấm phần mềm gián điệp vào thiết bị.

Thu hẹp bề mặt tấn công mạng của tin tặc

Để người dùng tiện lợi trong quá trình sử dụng thiết bị hoặc để hỗ trợ kỹ thuật từ xa, kiểm thử, đơn giản hóa quá trình kết nối thiết bị… nhà sản xuất IP Camera thường cố tình mở sẵn các cổng kết nối dịch vụ ẩn (như Telnet, SSH, UPnP...) ngay trong quá trình sản xuất, cài đặt tại nhà máy. Những cổng kết nối này vô tình tạo ra các “cửa sau” (Backdoor) để kẻ xấu tấn công, xâm nhập vào hệ thống camera của người dùng. Quy chuẩn mới buộc các nhà sản xuất phải tắt bỏ hoàn toàn các cổng kết nối vật lý và các dịch vụ mạng không cần thiết. Thiết bị chỉ được phép duy trì các cổng thực sự tối giản phục vụ trực tiếp cho tính năng giám sát, từ đó giảm thiểu tối đa “bề mặt tấn công”, chủ động vô hiệu hóa mọi lỗ hổng và điểm truy cập mà hacker có thể lợi dụng để xâm nhập, kiểm soát hoặc đánh cắp dữ liệu từ camera.

Nâng tầm hoạt động bảo vệ dữ liệu người dùng

Trong các yêu cầu thuộc nhóm “Bảo vệ dữ liệu trên thiết bị camera”, yêu cầu “Thiết bị camera có chức năng cho phép thiết lập cấu hình để lưu trữ dữ liệu tại Việt Nam” được quy định tại mục 2.11.5 - Quy chuẩn, là điểm đáng được chú ý nhất, thể hiện chính sách nhất quán của Việt Nam đối với dữ liệu. Quy định này tạo cơ sở pháp lý để triển khai các hệ thống camera sử dụng trong các cơ quan Nhà nước, tổ chức chính trị - xã hội và hạ tầng thông tin quan trọng về an ninh quốc gia, đảm bảo toàn bộ dữ liệu được lưu trữ trong lãnh thổ Việt Nam, do Việt Nam làm chủ. Đối với các đơn vị ngoài nhà nước, việc lưu trữ dữ liệu phải tuân thủ đầy đủ nghĩa vụ pháp lý theo quy định của Luật Dữ liệu, Luật bảo vệ Dữ liệu cá nhân và Luật An ninh mạng; đồng thời, phải đáp ứng đầy đủ các tiêu chuẩn bảo mật theo tại QCVN 139:2026/BCA. Bên cạnh đó, Quy chuẩn còn quy định toàn bộ dữ liệu hình ảnh, âm thanh và thông tin điều khiển truyền đi từ IP Camera qua môi trường mạng phải được mã hóa bằng các giao thức bảo mật tiên tiến, qua đó bảo vệ nghiêm ngặt dữ liệu cá nhân, quyền riêng tư của người dùng. Đây là hàng rào kỹ thuật quan trọng nhằm chống lại các hình thức tấn công chặn thu, nghe lén hoặc can thiệp từ bên thứ ba.

Sự ra đời của Thông tư số 48/2026/TT-BCA hướng đến sự chuẩn mực trong toàn bộ hoạt động sản xuất, kinh doanh và sử dụng IP Camera trong thời gian tới. Đối với các đơn vị sản xuất, kinh doanh, quy định bắt buộc chứng nhận và công bố hợp quy sẽ loại bỏ hoàn toàn các dòng IP Camera kém chất lượng, buộc doanh nghiệp phải đầu tư sâu vào bài toán an toàn thông tin, an ninh mạng. Với người tiêu dùng, để bảo vệ quyền riêng tư và uy tín của cá nhân, tổ chức, cần chủ động kiểm tra và chỉ chọn các dòng thiết bị IP Camera đã được cấp tem chứng nhận hợp quy theo Thông tư số 48/2026/TT-BCA của Bộ Công an, kiên quyết “nói không” với các sản phẩm không rõ nguồn gốc xuất xứ để đảm bảo tuyệt đối an ninh, an toàn của từng gia đình, từng các nhân trong môi trường số.

Nguyễn Văn Đương