Hệ thống camera giám sát của cơ quan nhà nước phải đáp ứng quy chuẩn an ninh mạng từ 01/6/2027

Từ đầu năm nay, bản thân chiếc camera đã có quy chuẩn an ninh mạng riêng. Tháng 5/2026, Bộ Công an ban hành Thông tư 48/2026/TT-BCA kèm QCVN 11:2026/BCA về thiết bị camera giám sát sử dụng giao thức Internet, áp dụng cho toàn thị trường từ ngày 01/7/2026. Quy chuẩn đó mới quản chiếc camera gắn trên cột. Phần hệ thống phía sau, nơi hình ảnh được ghi, lưu, truyền và xem, thì chưa có quy định.

Thông tư 167/2026/TT-BCA lấp khoảng trống này cho khu vực nhà nước. Thông tư do Bộ trưởng Bộ Công an, Đại tướng Lương Tam Quang, ký ngày 30/9/2026 theo đề nghị của Cục trưởng Cục An ninh mạng. Bản ký số được đăng trên Cổng Thông tin điện tử Chính phủ ngày 15/10. Thông tư ban hành QCVN 14:2026/BCA, Quy chuẩn kỹ thuật quốc gia về an ninh mạng cho hệ thống camera giám sát trong cơ quan nhà nước, và có hiệu lực từ ngày 01/6/2027.

Văn bản gồm những gì

Thông tư chỉ có ba điều: ban hành quy chuẩn, quy định hiệu lực và giao Cục An ninh mạng theo dõi, kiểm tra, đôn đốc. Nội dung chính nằm trong quy chuẩn 35 trang kèm theo. Quy chuẩn căn cứ Luật An ninh mạng số 116/2025/QH15 và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Mục tài liệu tham khảo dẫn ITU-T F.743.23 (2023), ITU-T X.1453 (2022) và bộ tiêu chuẩn an ninh mạng cho hệ thống giám sát video TAICS TS-0014/TS-0015 của Đài Loan.

Phạm vi điều chỉnh gồm ba nhóm hệ thống:

camera giám sát công trình quan trọng liên quan đến an ninh quốc gia;
camera của cơ quan, doanh nghiệp nhà nước phục vụ an ninh, trật tự và giám sát, điều hành đô thị thông minh;
camera phục vụ an ninh, trật tự, xử lý vi phạm và điều hành giao thông.

Đối tượng áp dụng là mọi cơ quan, tổ chức, doanh nghiệp nhà nước có hoạt động xây dựng, đầu tư, triển khai, vận hành các hệ thống này. Một số hệ thống đặc thù nằm ngoài phạm vi: camera tác chiến, camera trinh sát và camera tại buồng hỏi cung, trại giam, trại tạm giam, nhà tạm giữ. Hệ thống đã được phê duyệt cấp độ và đã triển khai đầy đủ phương án bảo đảm an ninh mạng theo cấp độ đó cũng không phải áp dụng quy chuẩn.

Yêu cầu theo từng thành phần

Quy chuẩn chia hệ thống camera thành sáu thành phần và đặt yêu cầu kiểm thử được cho từng phần. Mục 3 nêu cách thử và tiêu chí “đáp ứng / không đáp ứng” cho mỗi yêu cầu.

Camera IP phải đáp ứng QCVN 11:2026/BCA. Như vậy, quy chuẩn sản phẩm ban hành hồi tháng 5 trở thành điều kiện đầu vào cho mọi dự án của Nhà nước.
Đầu ghi hình (NVR/DVR) có tám yêu cầu. Thiết bị phải chặn nạp tệp thực thi từ cổng USB, eSATA, trừ firmware đã ký số. Thiết bị phải cho phép vô hiệu hóa các giao diện mạng và giao diện logic, và tự cảnh báo khi dung lượng trống xuống dưới ngưỡng đã đặt. Thiết bị phải ngăn chặn hoặc phát hiện việc cắt ghép, sửa tệp video, và mã hóa video khi truyền, xuất ra hoặc sao lưu ngoại tuyến. Ứng dụng bên thứ ba chưa xác thực không được cài. Tài khoản, mật khẩu quản trị mặc định của nhà sản xuất phải được thiết lập lại trước khi vận hành chính thức và không còn dùng được để đăng nhập. Bản cập nhật firmware, kể cả qua OTA, phải được xác thực chữ ký số. Nếu cập nhật thất bại, thiết bị phải khôi phục về phiên bản ổn định.
Hệ thống mạng. Chỉ được mở các giao thức an toàn. Nếu dùng ONVIF thì phải truyền qua HTTPS/TLS và hỗ trợ Profile G/T/M phù hợp. Vùng mạng camera phải tách khỏi các vùng mạng khác và chỉ được kết nối theo chính sách kiểm soát truy cập. Thiết bị kết nối vào hệ thống phải được kiểm soát, tối thiểu qua địa chỉ MAC, và phải đồng bộ thời gian với máy chủ thời gian. Quản trị từ xa phải đi qua kênh mã hóa, xác thực hai chiều. Không được mở trực tiếp cổng quản trị của camera, đầu ghi, thiết bị trung gian ra Internet công cộng.
Lưu trữ. Lưu trữ cục bộ từ 02 ổ đĩa trở lên phải hỗ trợ RAID. Từ 03 ổ trở lên phải có ổ dự phòng nóng tự thay thế và tái tạo dữ liệu. Khi lưu trên đám mây qua Internet công cộng, kênh truyền phải mã hóa tối thiểu TLS 1.2, hoặc dùng kênh riêng có mã hóa như VPN Site-to-Site/IPSec. Thiết bị đẩy dữ liệu lên đám mây chỉ được cấp quyền ghi, không có quyền xem, sửa, xóa. Kho đám mây phải kích hoạt được WORM (ghi một lần, đọc nhiều lần) và tự ghi đè hoặc xóa an toàn khi hết thời hạn lưu trữ.
Phần mềm quản lý video (VMS) có mười yêu cầu. Toàn bộ luồng hình ảnh, âm thanh và lệnh điều khiển phải được mã hóa, và phải kiểm tra tính toàn vẹn để phát hiện, ngăn chặn việc chèn tệp hoặc làm giả luồng dữ liệu. Người dùng và thiết bị đầu cuối phải được xác thực trước khi kết nối. Quyền phải phân theo vai trò, đồng thời theo từng camera và từng đầu ghi. Tại thời điểm đánh giá, phần mềm không được tồn tại lỗ hổng đã công bố ở mức nghiêm trọng hoặc cao theo CVSS và phải chặn được tấn công dò mật khẩu tự động. Mọi thao tác của người dùng phải được ghi nhật ký: ai, lúc nào, làm gì, tác động vào đối tượng nào. Phần mềm phải nhúng hình mờ (watermark) vào video. Máy chủ chỉ được mở các cổng đã khai báo trong hồ sơ thiết kế. API phải được bảo vệ, có xác thực, phân quyền và kiểm soát phiên với từng yêu cầu kết nối.
Thiết bị trung gian xử lý tại biên là thiết bị đặt giữa camera và hệ thống trung tâm, chẳng hạn hộp phân tích hình ảnh. Mỗi thiết bị phải có định danh riêng bằng chứng thư số hoặc khóa mật mã riêng, không dùng chung tài khoản hay chứng thư. Thiết bị phải khởi động an toàn và chỉ chạy firmware đã ký số. Thiết bị chỉ được gửi dữ liệu tới đúng dịch vụ tiếp nhận, không kết nối thẳng ra Internet, không truy cập ngang sang camera khác. Dữ liệu lưu đệm phải được mã hóa và tự xóa khi hết hạn. Thiết bị phải phát hiện được hành vi can thiệp như mở vỏ, ngắt mô-đun hay phát lại video cũ, rồi cảnh báo hoặc tự cách ly khỏi hệ thống.

Thay đổi so với trước

Trước đây, dự án camera của khu vực nhà nước chưa có chuẩn an ninh mạng bắt buộc dành riêng cho camera. Các dự án chủ yếu dựa vào quy định chung về an toàn thông tin và yêu cầu trong hồ sơ mời thầu. Dự thảo được lấy ý kiến từ cuối tháng 12/2025 đã nêu các thành phần camera IP, thiết bị tính toán tại biên, đầu ghi hình và hệ thống quản lý video. Nhờ vậy, các nhà cung cấp đã biết trước khung chung gần một năm.

Bản chính thức có hai điểm đáng chú ý nhất trên thực tế. Thứ nhất, những nguyên tắc vệ sinh an ninh cơ bản trở thành phép thử có kết luận đạt/không đạt: không mật khẩu mặc định, không mở cổng quản trị ra Internet, firmware ký số, phân vùng mạng, tài khoản tải lên chỉ có quyền ghi. Thứ hai, quy chuẩn đi xa hơn thiết bị để chạm tới kiến trúc hệ thống và khâu mua sắm. Một hệ thống có thể không đạt vì cách đấu nối và cấu hình, chứ không chỉ vì mua sai thiết bị.

Ai chịu tác động

Bộ, ngành, chính quyền cấp tỉnh, cấp xã và lực lượng công an đang vận hành camera đô thị, giao thông, trụ sở.
Doanh nghiệp nhà nước có camera tại sân bay, cảng, cơ sở điện, nước và các địa điểm khác.
Nhà tích hợp hệ thống, nhà cung cấp VMS và phần mềm phân tích video, kể cả thương hiệu nước ngoài, khi tham gia dự án công. Sản phẩm và thiết kế của họ sẽ bị kiểm thử theo từng yêu cầu.
Các đề án đô thị thông minh, vốn được nêu đích danh trong phạm vi điều chỉnh.

Camera an ninh của doanh nghiệp tư nhân không thuộc phạm vi thông tư này. Tuy nhiên, thiết bị camera họ mua đã phải theo QCVN 11:2026/BCA.

Chuyển tiếp

Hệ thống đã xây dựng, đưa vào sử dụng đúng quy định trước ngày 01/6/2027 vẫn được hoạt động bình thường. Tuy nhiên, chậm nhất 24 tháng kể từ ngày quy chuẩn có hiệu lực, tức ngày 01/6/2029, các hệ thống này phải đáp ứng quy chuẩn. Dự án mới thiết kế trong năm 2027 nên tính đến việc tuân thủ đầy đủ ngay từ đầu.

Những điểm còn bỏ ngỏ

Ai kiểm thử và bằng cách nào? Quy chuẩn có phương pháp thử nhưng không nói rõ việc tuân thủ được chứng minh qua nghiệm thu, phòng thử nghiệm độc lập hay kiểm tra của Cục An ninh mạng. Mục 5 chỉ giao Cục An ninh mạng và Công an các tỉnh, thành phố hướng dẫn triển khai.
Thiết bị cũ. Nhiều đầu ghi đang dùng không hỗ trợ khởi động an toàn, cập nhật OTA có ký số hay phát hiện can thiệp. Với các thiết bị này, 24 tháng chuyển tiếp có thể đồng nghĩa với thay mới chứ không chỉ cấu hình lại.
Yêu cầu “không có lỗ hổng nghiêm trọng, cao tại thời điểm đánh giá” chỉ là ảnh chụp tại một thời điểm. Văn bản chưa nói lỗ hổng phát hiện sau đó phải vá trong bao lâu.
Quyền riêng tư. Thông tư viện dẫn Luật Bảo vệ dữ liệu cá nhân nhưng không quy định thời hạn lưu hình, nhận diện khuôn mặt hay quyền tiếp cận hình ảnh của người dân. Các vấn đề này vẫn thuộc khung pháp luật về bảo vệ dữ liệu cá nhân.

Nguồn

Bài viết mang tính thông tin, không phải tư vấn pháp lý.