四部门联合发布公告，集中开展摄像头偷窥等黑产治理工作

随着网络摄像头的普及，远程监控越来越多的运用在公共设施、办公生产和家庭生活等场景当中，在给我们提供便利的同时也带来了许多安全隐患，围绕摄像头破解、隐私偷窥和非法内容传播等环节的黑色产业链规模不断扩大，危害日趋严重。

近日，由中央网信办、工业和信息化部、公安部、市场监管总局四部门联合发布了《关于开展摄像头偷窥等黑产集中治理的公告》，决定自2021年5月至8月，在全国范围组织开展摄像头偷窥黑产集中治理工作。

公告在落实各项主体责任的同时也概括了摄像头偷窥这条黑色产业链所涉及的关键环节，并指出了对应的安全问题点和处置要求。下面我们将从摄像头的设备自身安全、用户使用安全和运营管理安全几个维度来分别进行解读。

设备自身安全

要整治摄像头偷窥黑产的问题，首先需要确保摄像头本身以及配套管控平台的安全性。网络摄像头通常采用嵌入式的操作系统，容易产生漏洞风险，而市面上流通的网络摄像头品牌繁多，生产厂家众多，部分厂商只是在通用的设计方案基础上进行简单的二次包装，安全生产规范并不严格，尤其是一些低端产品的安全研发投入几乎为零，再加上缺乏专业的网络安全检测经验，在出厂情况下就很容易遗留安全漏洞，比较突出的问题包括初始口令易被破解、存在远程执行漏洞等。要做到摄像头自身安全，就要从技术和管理两方面来做好控制。

从技术层面来说，一方面需要采用可靠的操作系统，遵循安全编码规范，同时还要做好环境网络安全，加强厂房和车间的网络安全建设，减少暴露风险，做好安全域划分和访问控制；另一方面需要进行严格的出厂前安全基线检查，对口令复杂度、初始安全策略和系统安全性进行审核确认。

从管理层面看，要严格遵循数据安全、信息安全标准规范，制定全面的网络安全管理制度，并设定红线考核要求，同时还要定期开展网络安全专题培训，提升全员的生产安全意识。最后，针对视频监控的云平台，既需要做好出口限制，仅开放必要的管理服务，并部署细粒度的安全防护手段；又需要关注热点漏洞，持续性进行安全自查并及时修补漏洞风险，做好应急处置预案。

用户使用安全

摄像头的用户可以分为个人用户和企业用户。

• 个人用户，在摄像头使用过程中要注意以下几点安全事项，一是要做好口令安全，包括及时修改初始密码、采用复杂口令以及定期修改口令等；二是要加强安全意识，不随意开启直播共享、不随意向他人传播地址账号等，同时在隐私场所或休息时间做好遮挡保护工作。
• 企业用户，除上述注意事项之外，还需要考虑网络的安全规划，首先，避免将摄像头暴露在公网当中，包括直接配置公网IP或者对外映射等操作；其次，需要做好安全隔离，划分专门的安全域来实行分区保护，并设定横向安全防护能力；第三，需要采取必要的威胁检测手段，在摄像头接入位置做好攻击监测工作，及时发现并处置入侵风险和异常行为；最后，还要定期进行网络暴露面的摄像头资产探测，及时发现并处置暴露风险，同时做好针对摄像头的脆弱性检查，防范弱口令问题，并及时联系供应商进行固件升级和漏洞修补。

运营管理安全

运营安全的属性较为复杂，除摄像头厂商和用户以外，外包运维团队、第三方软件服务商和内容托管平台等都属于运营的范畴。

• 对于外包运维方，需要严格遵守用户的安全规定，不能私自传播摄像头管理地址和账号口令等信息，也不得违规获取摄像头内容信息，甚至上传至第三方平台。
• 对于第三方软件服务商，要严格控制调用接口的安全，并确保自身软件程序安全可靠，避免给用户带来供应链攻击风险，同时还要做好对用户内容的安全保护，不使用危险的数据存储和中转方式。
• 对于内容托管平台，如云盘、网站、论坛和视频运营平台等组织，需要履行内容审核和安全监督的责任，一方面需要识别涉及用户隐私的非法摄像头视频内容并进行过滤，配合监管部门做好取证工作；另一方面需要做好敏感信息的监控，对摄像头破解、非法利用、教唆引导等内容做好监测预警工作，及时处理并上报执法部门。

原文授权发布：盛邦安全