Quy chuẩn kỹ thuật quốc gia QCVN 135:2024/BTTTT về Thiết bị Camera giám sát sử dụng giao thức Internet - Các yêu cầu an toàn thông tin cơ bản do Bộ Thông tin và Truyền thông ban hành nhằm thiết lập các tiêu chuẩn kỹ thuật tối thiểu về an toàn thông tin đối với các thiết bị camera giám sát kết nối mạng (IP Camera). Quy chuẩn này tập trung vào việc bảo vệ thiết bị trước các nguy cơ tấn công mạng, đảm bảo an toàn dữ liệu người dùng và nâng cao tính bảo mật của hệ thống giám sát tại Việt Nam.

Phạm vi và đối tượng áp dụng

Quy chuẩn này áp dụng đối với các tổ chức, cá nhân có hoạt động sản xuất, nhập khẩu, phân phối và kinh doanh thiết bị camera giám sát sử dụng giao thức Internet (IP) trên thị trường Việt Nam. Các cơ quan quản lý nhà nước, tổ chức chứng nhận hợp quy cũng căn cứ vào quy chuẩn này để thực hiện việc đánh giá, kiểm định chất lượng an toàn thông tin của thiết bị.

Quản lý giao tiếp mạng và xác thực dữ liệu đầu vào

Quy chuẩn đặt ra các yêu cầu kỹ thuật nghiêm ngặt đối với phần mềm của thiết bị camera nhằm kiểm soát chặt chẽ luồng thông tin và ngăn chặn các hành vi can thiệp trái phép:

• Phần mềm của thiết bị camera phải sử dụng một giao diện mạng được cấu hình an toàn để thực hiện giao tiếp qua mạng thông qua các kênh hoặc cổng dịch vụ được xác định rõ ràng.
• Thiết bị bắt buộc phải thực hiện cơ chế xác thực dữ liệu đầu vào một cách toàn diện. Quá trình xác thực này phải được áp dụng đối với mọi dữ liệu nhận được từ giao diện người sử dụng, dữ liệu truyền qua các giao diện lập trình ứng dụng (API), hoặc dữ liệu trao đổi giữa các dịch vụ nội bộ và thiết bị nhằm ngăn chặn các cuộc tấn công tiêm mã độc (injection attacks).

Yêu cầu kiểm thử và đánh giá các phương pháp mã hóa

Để đảm bảo tính toàn vẹn và bảo mật tuyệt đối cho dữ liệu truyền đi, quy chuẩn phân định rõ ràng các mục tiêu kiểm thử đối với các phương pháp mã hóa được tích hợp trên camera:

• Đánh giá an toàn giao tiếp mạng chung: Nhóm thử nghiệm này có nhiệm vụ đánh giá xem các phương pháp mã hóa được sử dụng có cung cấp đầy đủ các cam kết an toàn cần thiết cho từng trường hợp giao tiếp cụ thể hay không. Đồng thời, kiểm thử để xác định xem các phương pháp mã hóa này có tồn tại bất kỳ lỗ hổng nào dễ bị khai thác hoặc bị tấn công hay không.
• Bảo vệ tham số an toàn quan trọng: Nhóm kiểm thử tập trung đánh giá tính an toàn của phương pháp mã hóa trong quá trình truyền dẫn các tham số an toàn quan trọng (như mật khẩu, khóa mã hóa). Mục tiêu là đảm bảo các phương pháp mã hóa này đủ mạnh mẽ và không thể bị bẻ khóa hoặc bị tấn công bằng các kỹ thuật hiện tại.
• Bảo vệ dữ liệu cá nhân của người dùng: Đánh giá khả năng bảo mật của các phương pháp mã hóa đối với dữ liệu cá nhân trong quá trình truyền dẫn. Quy chuẩn yêu cầu các phương pháp mã hóa này phải đảm bảo không có rủi ro bị tấn công, rò rỉ hoặc can thiệp trái phép từ bên ngoài.

Minh bạch thông tin về khả năng thu thập dữ liệu môi trường

Nhằm bảo vệ quyền riêng tư của người sử dụng, quy chuẩn yêu cầu tính minh bạch tối đa đối với các tính năng phần cứng của camera:

• Nhóm kiểm thử phải thực hiện rà soát và phát hiện bất kỳ khả năng nào của thiết bị camera trong việc thu thập thông tin từ môi trường xung quanh, bao gồm các dữ liệu từ cảm biến quang học, âm thanh, dữ liệu sinh trắc học hoặc thông tin định vị vị trí.
• Tất cả các khả năng thu thập thông tin này bắt buộc phải được nhà sản xuất ghi lại một cách rõ ràng, chi tiết trong tài liệu kỹ thuật đi kèm để người sử dụng hoàn toàn nhận biết và kiểm soát được các dữ liệu mà thiết bị đang thu thập.

Mục tiêu phòng chống tấn công mạng và bảo vệ thiết bị

Mục tiêu cốt lõi của quy chuẩn QCVN 135:2024/BTTTT là xây dựng một hàng rào kỹ thuật giúp thiết bị camera tự bảo vệ trước các kịch bản tấn công phổ biến trên không gian mạng:

• Thiết bị tuân thủ quy chuẩn phải có khả năng chống lại các cuộc tấn công cơ bản khai thác vào các điểm yếu trong thiết kế hệ thống, đặc biệt là các cuộc tấn công từ xa qua môi trường mạng.
• Ngăn chặn kịch bản kẻ tấn công xâm nhập vào thiết bị camera để cài đặt mã độc, biến thiết bị thành một phần của mạng máy tính ma (botnet) nhằm thực hiện các cuộc tấn công từ chối dịch vụ (DDoS) hướng vào bên thứ ba.
• Quy chuẩn hướng tới việc triệt tiêu động cơ của kẻ tấn công. Thông thường, kẻ tấn công không nhắm vào một camera cụ thể mà quét tìm các thiết bị có lỗ hổng cơ bản để xâm nhập hàng loạt. Khi thiết bị camera đáp ứng quy chuẩn và không tồn tại các lỗ hổng cơ bản, kẻ tấn công sẽ có xu hướng bỏ qua và chuyển sang các thiết bị khác kém an toàn hơn.

Hiệu lực thi hành và hướng dẫn tuân thủ

Quy chuẩn kỹ thuật quốc gia QCVN 135:2024/BTTTT là căn cứ pháp lý bắt buộc để các doanh nghiệp thực hiện chứng nhận hợp quy và công bố hợp quy trước khi đưa thiết bị camera giám sát IP ra lưu thông trên thị trường Việt Nam. Các đơn vị sản xuất, nhập khẩu cần chủ động thực hiện kiểm thử thiết bị tại các phòng thử nghiệm được chỉ định để đảm bảo sản phẩm đáp ứng đầy đủ các tiêu chuẩn an toàn thông tin theo quy định.