Czym są kamery zgodne z NDAA i dlaczego są tak istotne?

Bezpieczeństwo fizyczne i bezpieczeństwo w sieci są obecnie nierozłączne: nowa generacja monitoringu wideo musi spełniać surowe standardy sprzętowe wymagane przez rząd Stanów Zjednoczonych dla infrastruktury krytycznej, agencji rządowych i obiektów wojskowych.

Jednak te wysokie standardy bezpieczeństwa nie są już zarezerwowane wyłącznie dla kontrahentów rządowych. Coraz więcej firm prywatnych, menedżerów działów IT w przedsiębiorstwach oraz dbających o bezpieczeństwo właścicieli domów decyduje się na zakup kamer zgodnych z ustawą NDAA, aby chronić swoje sieci przed poważnymi zagrożeniami cyberbezpieczeństwa i ukrytymi tylnymi furtkami. W tym przewodniku wyjaśniono znaczenie przepisów, dlaczego są ważne zarówno dla sektora publicznego, jak i prywatnego oraz jak weryfikować swój sprzęt.

Czym jest zgodność z NDAA?

Aby zrozumieć, na czym polega zgodność z ustawą NDAA, należy najpierw poznać przepisy prawne, które ją regulują. National Defense Authorization Act (NDAA) to seria ustaw federalnych uchwalanych corocznie przez rząd USA, które określają budżet i wydatki Departamentu Obrony.

W ramach Ustawy NDAA z 2019 roku, Sekcja 889 określa surowe przepisy dotyczące wybranych urządzeń telekomunikacyjnych i sprzętu monitoringu objętego ustawą NDAA. Ustawa zabrania agencjom rządowym, kontrahentom federalnym i beneficjentom dotacji nabywania lub używania sprzętu wyprodukowanego przez określone chińskie firmy (oraz ich spółki zależne lub podmioty stowarzyszone) ze względu na obawy dotyczące bezpieczeństwa narodowego i prywatności danych.

Do głównych producentów objętych ograniczeniami należą:

• Huawei Technologies Company
• ZTE Corporation
• Hangzhou Hikvision Digital Technology Company
• Dahua Technology Company
• Hytera Communications Corporation

Dodatkowo, ustawa Secure Equipment Act uniemożliwia FCC sprawdzanie lub zatwierdzanie jakiegokolwiek nowego sprzętu od tych firm, skutecznie wstrzymując sprzedaż ich nowych urządzeń na rynku amerykańskim. Monitoring CCTV zgodny z ustawą NDAA odnosi się do kamer i urządzeń sieciowych, które nie wykorzystują żadnych istotnych komponentów pochodzących od podmiotów objętych ograniczeniami.

Dlaczego zgodność z NDAA ma znaczenie?

W przypadku agencji federalnych i kontrahentów korzystanie z kamer bezpieczeństwa zgodnych z ustawą NDAA jest ścisłym wymogiem prawnym. Nieprzestrzeganie zasad może skutkować utratą finansowania federalnego, rozwiązaniem umowy oraz nałożeniem ogromnych kar finansowych za naruszenia.

Dlaczego jednak prywatne firmy i właściciele domów mieliby zwracać na to uwagę? Urządzenia sieciowe, takie jak kamery IP, są bezpośrednio podłączone do Twojej sieci. Jeśli kamera ma naruszone oprogramowanie lub zawiera w sprzęcie tzw. tylne furtki, może zostać wykorzystana jako punkt wejściowy dla hakerów. Umożliwia to dostęp do poufnych danych firmy, podsłuchiwanie prywatnych działań oraz przeprowadzanie ataków typu ransomware. Wybierając kamery bezpieczeństwa zgodne ze standardem NDAA, zyskujesz podwójną warstwę ochrony: zabezpieczasz swój obiekt, a jednocześnie aktywnie chronisz swoją architekturę sieciową przed znanymi międzynarodowymi zagrożeniami cybernetycznymi.

Jak upewnić się, że kupujesz produkty zgodne z NDAA?

Nowoczesne urządzenia elektroniczne są produkowane z komponentów pochodzących z całego świata, więc sprawdzenie, czy dana kamera jest zgodna z NDAA, wymaga przeprowadzenia pewnych badań. Oto w jaki sposób można zweryfikować swój sprzęt:

• Zapytaj producenta: renomowane marki zajmujące się bezpieczeństwem publikują na swoich stronach internetowych oficjalne oświadczenia o zgodności z NDAA. Jeśli firma jest przejrzysta w kwestii swojego łańcucha dostaw, znalezienie tego oświadczenia nie powinno być problematyczne.
• Sprawdź OEM (producenta oryginalnego sprzętu): wiele marek z branży bezpieczeństwa stosuje tzw. „white-label”, czyli kupuje urządzenia wyprodukowane przez inną firmę i sprzedaje je pod własnym logo. Należy upewnić się, że rzeczywisty producent OEM nie znajduje się na liście podmiotów objętych ograniczeniami.
• Zweryfikuj wewnętrzny chipset: sekcja 889 zakazuje również krytycznych komponentów wewnętrznych, takich jak układy System-on-Chip (SoC), produkowanych przez firmy objęte ograniczeniami. Kamera może w dalszym ciągu nie spełniać wymogów, jeśli jej główny układ przetwarzający pochodzi od producenta objętego zakazem.

Jak przeprowadzić audyt i aktualizację obecnego systemu?

Jeśli podejrzewasz, że Twoja obecna infrastruktura opiera się na sprzęcie objętym ograniczeniami, oznacza to konieczność przeprowadzenia audyt swojej sieci. Postępuj zgodnie z poniższymi praktycznymi krokami, aby przejść na kamery zgodne z NDAA:

1. Przeprowadź audyt istniejących zabezpieczeń: zidentyfikuj markę i model wszystkich kamer, sieciowych rejestratorów wideo (NVR) i innych urządzeń monitoringu podłączonych do sieci na terenie Twojego obiektu.
2. Sprawdź pochodzenie producenta: porównaj swoje urządzenia z listą ograniczonych w Sekcji 889 NDAA, aby sprawdzić, czy nie zawierają zabronionych komponentów.
3. Skorzystaj z pomocy integratora: współpracuj z doświadczonym specjalistami zajmującymi się bezpieczeństwem, którzy znają wymagania regulacyjne i pomogą zweryfikować Twój sprzęt.
4. Wymień urządzenia niespełniające wymogów: zastąp sprzęt objęty zakazem dopuszczonymi alternatywami od sprawdzonych i transparentnych producentów.

Często zadawane pytania

Podsumowanie

Wybór kamer zgodnych z NDAA to inwestycja w długoterminowe cyberbezpieczeństwo. Niezależnie od tego, czy chronisz budynek federalny, lokalną firmę detaliczną, czy własny dom, zrozumienie pochodzenia sprzętu ma kluczowe znaczenie. Dokonując audytu obecnych urządzeń i modernizując je poprzez zainstalowanie w pełni zgodnego z przepisami monitoringu wideo, zapewniasz bezpieczeństwo swojej nieruchomości zarówno przed fizycznymi intruzami, jak i niewidocznymi zagrożeniami cyfrowymi.