Công văn 294/CATTT-ATHTTT năm 2023 do Cục An toàn thông tin ban hành là văn bản hướng dẫn quan trọng nhằm tăng cường bảo đảm an toàn thông tin đối với các hệ thống thông tin có sử dụng camera giám sát. Trong bối cảnh các thiết bị camera giám sát (IP Camera) ngày càng phổ biến và đối mặt với nhiều nguy cơ bảo mật cao, văn bản này đưa ra các chỉ dẫn kỹ thuật và quản lý cụ thể nhằm hạn chế tối đa rủi ro lộ lọt thông tin, bị tấn công mạng hoặc bị kiểm soát từ xa.

- Mục đích và phạm vi áp dụng

Công văn hướng dẫn các cơ quan, tổ chức, doanh nghiệp và các đơn vị liên quan chủ động triển khai các biện pháp bảo vệ an toàn thông tin cho hệ thống camera giám sát do mình quản lý. Phạm vi áp dụng bao gồm toàn bộ các hệ thống thông tin có kết nối, xử lý hoặc lưu trữ dữ liệu từ camera giám sát trên phạm vi cả nước, đặc biệt là các hệ thống thông tin trọng yếu của cơ quan Nhà nước.

- Các yêu cầu bảo đảm an toàn thông tin cốt lõi đối với hệ thống camera

Cục An toàn thông tin đã chỉ ra các biện pháp kỹ thuật và quản lý bắt buộc phải triển khai bao gồm:

• Quản lý tài khoản và mật khẩu: Thay đổi ngay mật khẩu mặc định của nhà sản xuất đối với tất cả các thiết bị camera và thiết bị ghi hình ngay khi lắp đặt. Thiết lập chính sách mật khẩu mạnh, yêu cầu thay đổi định kỳ và hạn chế số lần đăng nhập sai để phòng chống tấn công dò quét mật khẩu (brute-force).
• Kiểm soát truy cập và phân quyền: Chỉ cho phép các tài khoản có thẩm quyền truy cập vào hệ thống camera. Thực hiện phân quyền chi tiết cho từng người dùng (chỉ xem, cấu hình, hoặc quản trị) và tắt các tính năng, dịch vụ không sử dụng trên thiết bị camera.
• Bảo mật kết nối mạng: Không kết nối trực tiếp camera giám sát vào mạng Internet công cộng khi không có các biện pháp bảo vệ. Khuyến nghị sử dụng mạng riêng ảo (VPN) hoặc các kênh truyền mã hóa để truy cập từ xa vào hệ thống camera. Thực hiện phân vùng mạng riêng biệt cho hệ thống camera giám sát, tách biệt với mạng nghiệp vụ khác của tổ chức.
• Cập nhật phần mềm và vá lỗ hổng: Thường xuyên kiểm tra, cập nhật firmware, phần mềm quản lý camera lên phiên bản mới nhất từ nhà sản xuất để vá các lỗ hổng bảo mật đã được công bố.
• Mã hóa dữ liệu: Áp dụng các biện pháp mã hóa dữ liệu hình ảnh, video khi lưu trữ và khi truyền tải trên đường truyền mạng để tránh bị đánh cắp thông tin nhạy cảm.

- Trách nhiệm quản lý, giám sát và ứng phó sự cố

Bên cạnh các giải pháp kỹ thuật, Công văn 294/CATTT-ATHTTT cũng nhấn mạnh vai trò quản lý của các đơn vị vận hành:

• Xây dựng quy chế an toàn thông tin: Ban hành quy chế nội bộ về quản lý, vận hành và sử dụng hệ thống camera giám sát, trong đó quy định rõ trách nhiệm của từng cá nhân, bộ phận.
• Giám sát an toàn thông tin liên tục: Thiết lập hệ thống giám sát, ghi nhật ký hệ thống (log) để theo dõi các hoạt động truy cập vào camera. Kịp thời phát hiện các hành vi truy cập bất thường hoặc lưu lượng mạng tăng đột biến từ thiết bị camera.
• Sẵn sàng phương án ứng phó sự cố: Xây dựng kịch bản và phương án ứng phó khi xảy ra sự cố mất an toàn thông tin liên quan đến camera (như bị lộ lọt video, bị chiếm quyền điều khiển). Phối hợp chặt chẽ với các cơ quan chức năng như Cục An toàn thông tin khi xảy ra sự cố nghiêm trọng.

- Đánh giá chung về văn bản

Công văn 294/CATTT-ATHTTT năm 2023 là cẩm nang kỹ thuật thiết thực, giúp các cơ quan, tổ chức chuẩn hóa quy trình bảo mật cho hệ thống camera giám sát. Việc nghiêm túc thực hiện các hướng dẫn này không chỉ bảo vệ dữ liệu nội bộ của tổ chức mà còn góp phần bảo đảm an ninh mạng quốc gia, ngăn chặn các nguy cơ gián điệp và phá hoại thông qua các thiết bị IoT.