Hàn Quốc đang xuất hiện cuộc tranh luận mới về an ninh của camera giám sát sản xuất tại Trung Quốc, sau khi các doanh nghiệp viễn thông và an ninh lớn trong nước bị phát hiện kinh doanh một số thiết bị của các nhà sản xuất Trung Quốc như Hikvision và Dahua.
Vấn đề trở nên đáng chú ý bởi đây không đơn thuần là câu chuyện về xuất xứ sản phẩm. Một số nhà sản xuất camera Trung Quốc đã nằm trong các biện pháp hạn chế của Mỹ liên quan đến an ninh quốc gia. Trong khi đó, tại Hàn Quốc, các thiết bị camera Trung Quốc vẫn được sử dụng trong doanh nghiệp, hộ gia đình và thậm chí xuất hiện tại một số cơ sở của cơ quan cảnh sát.
Theo dữ liệu do nghị sĩ Kang Myung-gu nhận từ Cơ quan Cảnh sát Quốc gia Hàn Quốc, 1.359 camera CCTV thuộc cơ quan cảnh sát chưa có chứng nhận an ninh TTA, trong đó 385 thiết bị được xác định là sản phẩm Trung Quốc. Một số camera Trung Quốc được phát hiện tại những khu vực nhạy cảm như phòng ghi hình lấy lời khai và nơi lưu giữ vật chứng.
Cuộc tranh luận vì thế đang chuyển từ câu hỏi “camera Trung Quốc có rẻ hơn hay không?” sang vấn đề rộng hơn: thiết bị camera kết nối mạng cần được đánh giá rủi ro an ninh như thế nào trong chuỗi cung ứng của Hàn Quốc?
Camera Trung Quốc xuất hiện ngày càng nhiều tại Hàn Quốc
Theo nội dung điều tra được công bố tại Hàn Quốc, LG Uplus, SK Shieldus và KT Telecop đang kinh doanh hoặc cung cấp các sản phẩm camera giám sát có liên quan đến những nhà sản xuất Trung Quốc như Hikvision và Dahua.
Một nguyên nhân quan trọng là giá thành.
Theo một quan chức trong ngành CCTV được dẫn lời, chi phí sản xuất một camera tại Trung Quốc có thể vào khoảng 50.000 won, trong khi sản xuất tại Hàn Quốc có thể lên tới 130.000-180.000 won.
Khoảng cách chi phí này tạo ra sức ép đáng kể đối với các doanh nghiệp cung cấp giải pháp giám sát.
Đối với khách hàng doanh nghiệp, trường học, cửa hàng, nhà kho hoặc hộ gia đình cần lắp đặt số lượng lớn camera, giá thiết bị có thể là yếu tố quyết định.
Tuy nhiên, camera hiện đại không còn đơn thuần là một thiết bị ghi hình.
Một camera IP có thể kết nối với mạng nội bộ, máy chủ lưu trữ, ứng dụng điện thoại hoặc nền tảng quản lý từ xa. Vì vậy, nếu phần cứng hoặc phần mềm có lỗ hổng, nguy cơ không chỉ nằm ở việc một chiếc camera ngừng hoạt động mà còn có thể liên quan đến quyền truy cập mạng, dữ liệu hình ảnh và thông tin về địa điểm.
Đây là lý do vấn đề camera Trung Quốc đang được nhìn dưới góc độ an ninh mạng và an ninh chuỗi cung ứng.
Vì sao Hikvision và Dahua bị Mỹ hạn chế?
Một trong những điểm khiến tranh luận tại Hàn Quốc trở nên gay gắt là việc Hikvision và Dahua đã nằm trong Covered List của Ủy ban Truyền thông Liên bang Mỹ (FCC).
Theo tài liệu FCC, danh sách này được xây dựng trên cơ sở các quy định của Mỹ về thiết bị viễn thông và giám sát có thể gây rủi ro đối với an ninh quốc gia. Hikvision và Dahua nằm trong nhóm các doanh nghiệp được Quốc hội Mỹ đưa vào phạm vi điều chỉnh của luật liên quan đến thiết bị giám sát video.
Năm 2021, FCC thực hiện quy định theo Secure Equipment Act, theo đó Ủy ban không tiếp tục xem xét hoặc cấp phép cho một số thiết bị thuộc Covered List theo cơ chế cấp phép thiết bị của FCC.
Điều này cần được hiểu chính xác.
Việc một sản phẩm hoặc nhà sản xuất nằm trong Covered List của FCC là cơ sở để Mỹ áp dụng các hạn chế theo luật Mỹ, nhưng không đồng nghĩa mọi thiết bị của doanh nghiệp đó đã được chứng minh là có hành vi đánh cắp dữ liệu.
Đây là sự khác biệt quan trọng khi đánh giá vấn đề tại Hàn Quốc.
Mỹ xem xét rủi ro ở cấp độ an ninh quốc gia và chuỗi cung ứng, trong khi Hàn Quốc phải đánh giá dựa trên luật pháp, tiêu chuẩn kỹ thuật và mức độ rủi ro cụ thể đối với hệ thống của mình.
“Chỉ sản xuất vỏ camera tại Trung Quốc” có đủ để loại bỏ rủi ro?
Đây đang là một trong những điểm gây tranh luận.
Các doanh nghiệp Hàn Quốc được dẫn lời cho rằng họ sử dụng hình thức OEM tại Trung Quốc để giảm chi phí, nhưng phần mềm và các thành phần cốt lõi được phát triển hoặc kiểm soát tại Hàn Quốc.
LG Uplus, SK Shieldus và KT Telecop cũng cho biết họ thực hiện các biện pháp đánh giá bảo mật, bao gồm mô phỏng tấn công mạng và kiểm tra lỗ hổng.
Về mặt kỹ thuật, việc phần mềm do một doanh nghiệp Hàn Quốc phát triển có thể giúp kiểm soát một phần rủi ro.
Nhưng điều đó không có nghĩa rủi ro bằng không.
Một camera là sản phẩm kết hợp giữa nhiều thành phần:
phần cứng + firmware + hệ điều hành + thư viện phần mềm + giao thức mạng + máy chủ + ứng dụng + quy trình cập nhật.
Một lỗ hổng có thể tồn tại ở bất kỳ lớp nào.
Vì vậy, câu hỏi quan trọng không chỉ là “phần mềm được viết ở đâu?” mà còn phải là:
- Chip và linh kiện nào được sử dụng?
- Firmware gốc do ai phát triển?
- Có thành phần phần mềm bên thứ ba nào?
- Máy chủ cập nhật firmware đặt ở đâu?
- Dữ liệu camera được truyền tới đâu?
- Có cơ chế truy cập từ xa hay không?
- Ai có quyền quản trị thiết bị?
- Mã nguồn và firmware có được kiểm tra độc lập?
- Thiết bị có được cập nhật bảo mật thường xuyên?
- Có cơ chế phát hiện hành vi bất thường hay không?
Đó mới là những câu hỏi cốt lõi của an ninh IoT.
Chuyên gia cảnh báo không có thiết bị IoT nào tuyệt đối an toàn
Trong cuộc tranh luận tại Hàn Quốc, một số chuyên gia an ninh mạng cho rằng việc tuyên bố một thiết bị hoàn toàn không có lỗ hổng là rất khó có cơ sở.
Giáo sư Kim Yong-dae của KAIST được dẫn lời cho rằng các sản phẩm camera của Dahua từng xuất hiện nhiều lỗ hổng bảo mật được công bố, trong đó có những lỗ hổng liên quan đến xác thực và khả năng kiểm soát thiết bị.
Điểm cần lưu ý ở đây là sự tồn tại của lỗ hổng không tự động chứng minh một thiết bị cụ thể đang bị khai thác hoặc dữ liệu của người dùng đã bị đánh cắp.
Trong ngành an ninh mạng, gần như mọi hệ thống phần mềm phức tạp đều có nguy cơ xuất hiện lỗ hổng. Điều quan trọng là nhà sản xuất phát hiện, công bố, vá lỗi và quản lý vòng đời sản phẩm như thế nào.
Vì vậy, thay vì chỉ đặt câu hỏi “thiết bị Trung Quốc có an toàn không?”, một cách tiếp cận kỹ thuật hơn là đánh giá:
khả năng tồn tại lỗ hổng + mức độ nghiêm trọng + tốc độ vá lỗi + khả năng cập nhật + quyền truy cập + dữ liệu mà thiết bị có thể tiếp cận.
1.359 camera cảnh sát chưa có chứng nhận TTA
Một trong những số liệu đáng chú ý nhất trong cuộc tranh luận hiện nay là 1.359 camera CCTV của cảnh sát Hàn Quốc chưa có chứng nhận an ninh TTA.
Trong số đó có 385 camera sản xuất tại Trung Quốc, tương đương khoảng 28,3%.
Nguồn tin Hàn Quốc cho biết hơn một nửa số camera Trung Quốc trong nhóm này là sản phẩm của Hikvision. Một số thiết bị được lắp tại các khu vực như phòng ghi hình lời khai và nơi lưu giữ vật chứng.
Điều này khiến vấn đề trở nên nhạy cảm hơn so với camera được sử dụng trong một cửa hàng hoặc hộ gia đình.
Một camera đặt trong khu vực lưu giữ vật chứng có thể ghi lại:
- Nhân viên ra vào.
- Hoạt động điều tra.
- Hình ảnh vật chứng.
- Tài liệu hoặc màn hình máy tính.
- Quy trình xử lý hồ sơ.
- Những thông tin về cơ sở vật chất.
Do đó, giá trị của dữ liệu hình ảnh trong cơ quan thực thi pháp luật cao hơn đáng kể so với camera an ninh gia đình thông thường.
“Không có chứng nhận TTA” có nghĩa camera không an toàn?
Không nên đánh đồng hai khái niệm này.
Không có chứng nhận TTA không đồng nghĩa thiết bị chắc chắn có lỗ hổng hoặc đã xảy ra rò rỉ dữ liệu.
Nó có nghĩa thiết bị không nằm trong nhóm đã đạt chứng nhận theo tiêu chuẩn tương ứng.
Tuy nhiên, đối với các khu vực có dữ liệu nhạy cảm, việc sử dụng thiết bị chưa qua một cơ chế đánh giá bảo mật có thể làm tăng khó khăn trong quản lý rủi ro.
Đây là lý do nghị sĩ Kang Myung-gu cho rằng các thiết bị CCTV được sử dụng trong cơ quan cảnh sát cần được kiểm tra kỹ hơn, đặc biệt khi chúng được đặt tại những khu vực liên quan đến điều tra và vật chứng.
Vì sao camera giá rẻ lại hấp dẫn doanh nghiệp?
Bài toán kinh tế là một phần quan trọng của câu chuyện.
Camera giám sát ngày nay đã trở thành sản phẩm phổ thông. Một doanh nghiệp có thể cần hàng chục, hàng trăm hoặc thậm chí hàng nghìn thiết bị.
Nếu chênh lệch giá mỗi camera lên tới hàng chục nghìn won, tổng chi phí dự án sẽ thay đổi đáng kể.
Đây là lợi thế lớn của chuỗi sản xuất Trung Quốc.
Ngoài chi phí nhân công, Trung Quốc còn sở hữu hệ sinh thái sản xuất điện tử rất lớn, giúp các nhà sản xuất camera tiếp cận nhanh với cảm biến, chip, module mạng, bộ nhớ, màn hình và linh kiện điện tử.
Nhưng chi phí thấp cũng đặt ra một câu hỏi:
Doanh nghiệp tiết kiệm được bao nhiêu nếu giá mua thấp hơn nhưng phải đối mặt với chi phí kiểm tra, quản lý và thay thế thiết bị về sau?
Đó là bài toán tổng chi phí sở hữu mà các doanh nghiệp ngày càng phải tính đến.
Mỹ và Hàn Quốc có đang áp dụng cùng một tiêu chuẩn?
Không.
Đây là điểm cần phân biệt để tránh hiểu sai cuộc tranh luận.
Mỹ có hệ thống pháp luật riêng về thiết bị viễn thông và giám sát có rủi ro đối với an ninh quốc gia. FCC Covered List là một trong những công cụ được sử dụng để hạn chế việc cấp phép đối với các thiết bị thuộc phạm vi điều chỉnh.
Trong khi đó, Hàn Quốc có các tiêu chuẩn và quy trình đánh giá riêng, trong đó TTA Security Verification là một trong những cơ chế được nhắc tới trong vấn đề CCTV.
Do đó, việc một thiết bị bị hạn chế ở Mỹ không tự động tạo ra lệnh cấm tương tự tại Hàn Quốc.
Tuy nhiên, việc Mỹ đánh giá một số nhà cung cấp là rủi ro an ninh có thể trở thành dữ liệu tham khảo quan trọng đối với các đồng minh khi xây dựng chính sách bảo vệ chuỗi cung ứng.
Lo ngại lớn hơn: Camera đã trở thành thiết bị IoT
Trước đây, camera CCTV có thể được xem đơn giản như một thiết bị ghi hình.
Ngày nay, camera thường là một thiết bị IoT kết nối mạng.
Một camera IP có thể:
- Kết nối Wi-Fi hoặc Ethernet.
- Giao tiếp với máy chủ.
- Nhận firmware từ xa.
- Cho phép quản trị qua internet.
- Gửi cảnh báo đến điện thoại.
- Lưu dữ liệu trên máy chủ hoặc đám mây.
- Kết nối với nhiều thiết bị khác trong cùng mạng.
Nếu được cấu hình không đúng, một camera có lỗ hổng có thể trở thành điểm xâm nhập vào mạng.
Đây mới là rủi ro mà các chuyên gia an ninh mạng đặc biệt quan tâm.
Không nhất thiết phải có hành vi “camera gửi video về Trung Quốc” mới tạo ra nguy cơ. Một lỗ hổng xác thực, mật khẩu mặc định, firmware lỗi thời hoặc giao diện quản trị từ xa cũng có thể tạo ra điểm yếu.
Hàn Quốc đứng trước bài toán cân bằng giữa giá thành và an ninh
Tranh luận hiện tại cho thấy Hàn Quốc phải giải quyết một bài toán không đơn giản.
Một bên là lợi ích kinh tế từ thiết bị giá rẻ và chuỗi cung ứng quốc tế.
Một bên là yêu cầu bảo vệ dữ liệu và cơ sở hạ tầng trong bối cảnh camera ngày càng kết nối sâu với mạng internet.
Nếu áp dụng tiêu chuẩn quá thấp, rủi ro an ninh có thể tăng.
Nhưng nếu loại bỏ hoàn toàn một nhóm sản phẩm chỉ dựa trên quốc gia sản xuất, chi phí đầu tư cho hệ thống giám sát có thể tăng mạnh và có thể bỏ qua những sản phẩm từ các quốc gia khác cũng có lỗ hổng bảo mật.
Vì vậy, một phương án có tính kỹ thuật hơn là đánh giá từng thiết bị, từng firmware, từng vị trí triển khai và từng mức độ nhạy cảm của dữ liệu.
Cần kiểm tra những gì đối với camera nhập khẩu?
Đối với doanh nghiệp và cơ quan nhà nước, việc kiểm tra camera nên vượt ra ngoài câu hỏi về thương hiệu.
Một quy trình đánh giá có thể bao gồm:
Kiểm tra nguồn gốc phần cứng
Xác định nhà sản xuất, model, chip, module mạng và các thành phần quan trọng.
Kiểm tra firmware
Xác định phiên bản firmware đang sử dụng, lịch sử cập nhật và các lỗ hổng đã được công bố.
Kiểm tra quyền truy cập
Vô hiệu hóa tài khoản mặc định, thay đổi mật khẩu, giới hạn quyền quản trị và hạn chế truy cập từ internet.
Kiểm tra lưu lượng mạng
Theo dõi thiết bị kết nối tới máy chủ nào, tần suất bao nhiêu và loại dữ liệu được truyền đi.
Phân tách mạng
Camera nên được đặt trong mạng riêng hoặc VLAN riêng thay vì nằm cùng mạng với máy chủ chứa dữ liệu quan trọng.
Đánh giá vị trí lắp đặt
Camera đặt tại phòng họp thông thường không có cùng mức độ rủi ro với camera đặt trong phòng điều tra, phòng máy chủ hoặc khu vực lưu trữ vật chứng.
Từ câu chuyện camera đến bài toán an ninh chuỗi cung ứng
Cuộc tranh luận tại Hàn Quốc đang cho thấy một thực tế mới: một camera giá rẻ không còn chỉ là một thiết bị phần cứng.
Nó có thể trở thành một mắt xích trong hệ thống thông tin.
Khi camera được kết nối internet, dữ liệu hình ảnh trở thành một loại dữ liệu số cần được bảo vệ. Khi hàng nghìn thiết bị được triển khai trên toàn quốc, vấn đề bảo mật của từng camera có thể trở thành vấn đề quản trị ở cấp độ chuỗi cung ứng.
Số liệu 1.359 camera chưa có chứng nhận TTA, trong đó 385 camera Trung Quốc, vì vậy cần được nhìn trong bối cảnh rộng hơn. Vấn đề không chỉ là “camera Trung Quốc” mà còn là tiêu chuẩn bảo mật nào được áp dụng, ai chịu trách nhiệm kiểm tra và những thiết bị chưa đạt chuẩn đang được đặt ở đâu.
Trong bối cảnh Mỹ ngày càng siết kiểm soát một số thiết bị viễn thông và giám sát có rủi ro an ninh, Hàn Quốc có thể sẽ phải cân nhắc kỹ hơn về tiêu chuẩn đối với các thiết bị IoT được sử dụng trong khu vực công và những cơ sở nhạy cảm.
Đây cũng là bài toán mà nhiều quốc gia khác đang đối mặt: làm thế nào để vừa tận dụng lợi ích của chuỗi cung ứng toàn cầu, vừa bảo vệ dữ liệu và hạ tầng số trước những rủi ro ngày càng phức tạp.
Hỏi đáp về tranh cãi camera Trung Quốc tại Hàn Quốc
1. Hàn Quốc có cấm camera Hikvision và Dahua không?
Thông tin hiện tại không cho thấy Hàn Quốc đã ban hành lệnh cấm toàn diện đối với mọi sản phẩm Hikvision và Dahua. Cuộc tranh luận hiện tập trung vào rủi ro an ninh, chứng nhận và việc sử dụng thiết bị tại những khu vực nhạy cảm.
2. Vì sao Mỹ hạn chế Hikvision và Dahua?
FCC đưa Hikvision và Dahua vào Covered List trong khuôn khổ luật Mỹ liên quan đến thiết bị viễn thông và giám sát được đánh giá có rủi ro đối với an ninh quốc gia. Quy định của Mỹ không phải là quy định pháp luật trực tiếp áp dụng tại Hàn Quốc.
3. 385 camera Trung Quốc tại cảnh sát Hàn Quốc có bị hack không?
Chưa có thông tin trong các nguồn được dẫn chứng cho thấy toàn bộ 385 thiết bị đã bị hack. Vấn đề được xác định là 385 camera thuộc nhóm 1.359 camera chưa có chứng nhận TTA, trong đó một số thiết bị nằm tại các khu vực nhạy cảm.
4. Camera sản xuất tại Trung Quốc nhưng dùng phần mềm Hàn Quốc có an toàn tuyệt đối không?
Không thể kết luận an toàn tuyệt đối chỉ dựa trên nơi phát triển phần mềm. Bảo mật còn phụ thuộc vào phần cứng, firmware, thư viện phần mềm, cơ chế cập nhật, cấu hình mạng và quyền truy cập.
5. Camera Trung Quốc có phải lúc nào cũng không an toàn?
Không. Quốc gia sản xuất không phải là bằng chứng duy nhất để kết luận một thiết bị có lỗ hổng. Một đánh giá an ninh đầy đủ cần xem xét model cụ thể, firmware, cấu hình và lịch sử lỗ hổng của sản phẩm.
6. Doanh nghiệp nên làm gì khi đang sử dụng camera Trung Quốc?
Không nhất thiết phải thay thế ngay toàn bộ thiết bị chỉ dựa trên xuất xứ. Doanh nghiệp nên kiểm kê model, cập nhật firmware, thay đổi thông tin đăng nhập mặc định, tách mạng camera, hạn chế truy cập từ xa và thực hiện đánh giá bảo mật. Với khu vực chứa dữ liệu đặc biệt nhạy cảm, có thể cân nhắc sử dụng thiết bị đáp ứng các tiêu chuẩn an ninh phù hợp.
Nguồn tham khảo: FCC Mỹ; Chosun Daily; TBC News; các nguồn tin Hàn Quốc dẫn dữ liệu từ Cơ quan Cảnh sát Quốc gia và văn phòng nghị sĩ Kang Myung-gu. Các đánh giá của Mỹ về Hikvision và Dahua được trình bày theo phạm vi pháp lý của Mỹ; việc một thiết bị nằm trong danh sách hạn chế của Mỹ không tự động chứng minh thiết bị đó đã gây rò rỉ dữ liệu tại Hàn Quốc. Nội dung bài mang tính thông tin, không kết luận về an toàn hay nguy hiểm của một sản phẩm cụ thể nếu chưa có kết quả kiểm định độc lập.
Cập nhật nhanh các diễn biến về trí tuệ nhân tạo, an ninh mạng, smartphone, doanh nghiệp và công nghệ quốc tế trên Điểm Tin Nhanh.
Đọc tin mới trên Điểm Tin Nhanh
