5月22日午前、VietNamNet紙が情報通信省情報セキュリティ局と共同で開催したセミナー「監視カメラのためのネットワーク情報セキュリティ基本基準」において、国家サイバーセキュリティ協会技術部長でNCS社のテクニカルディレクターを務めるヴー・ゴック・ソン氏が、ネットワークセキュリティの観点から監視カメラに関する見解を共有しました。ソン氏は、カメラは聞く、見る、考える（AIと統合すれば）、観察した物体や空間を検知するなど、特別なコンピューターと見なせると述べました。カメラは決して電源を切らず、24時間365日オンライン状態を維持し、パッチ適用やウイルス対策ソフトによるアップデートもほとんど行われません。そのため、攻撃を受けた場合、誰も守ることができません。

W-VietNamNetによる監視カメラの基本的なネットワークセキュリティ基準に関する議論（1）.jpg
国立サイバーセキュリティ協会技術部門長、NCS社テクニカルディレクターのヴー・ゴック・ソン氏。写真：レ・アン・ドゥン

VNPTテクノロジーのグエン・ヴィエット・バン副社長も同様の見解を示し、カメラは小型でシンプルであるものの、光学式、ブロードキャスト（Wi-Fi）、そしてLANといった複雑な構成要素を備えていると述べた。これら2つのネットワークインターフェースを備えることで、カメラは情報収集デバイスとして機能する。家の中に設置されたカメラは、オペレーティングシステムを搭載したコンピューターのように、録画や画像取得を行い、まるで家の中にもう1人の人間がいるかのように静かに動作する。そのため、万が一何らかの抜け穴があれば、カメラデバイスは情報を完全に外部に漏洩させることができる。

W-VietNamNetによる監視カメラの基本的なネットワークセキュリティ基準に関する議論（2）.jpg
VNPT Technology 副社長、Nguyen Viet Bang 氏。写真: レ・アン・ズン

監視カメラはこれほど普及し重要なデバイスであるにもかかわらず、ユーザーは監視カメラの情報セキュリティ保護について依然として認識が不足しています。専門家のヴー・ゴック・ソン氏は、カメラシステムに対する最近の大規模な攻撃事例をいくつか挙げました。2023年には、多くのHikvisionユーザーがカメラの閲覧中に画面にハッカー攻撃の警告メッセージが表示されました。注目すべきは、メーカーがパッチを提供していたにもかかわらず、ハッカーが2021年に存在した古い脆弱性を利用してHikvisionカメラを攻撃したことです。

ベトナムでは大規模な攻撃は発生していないものの、状況は深刻です。2020年のベトナムの調査によると、パスワードが更新されていないカメラの数は最大70%に達しました。2023年には、一部のハッカーがベトナム国内のカメラへのアクセスを販売し、そのシステムは最大10万台のカメラで構成されていました。アクセス料金も低く、15台のカメラへのアクセスに約80万ドン（約1万8千円）でした。

ヴー・ゴック・ソン氏は、カメラの情報セキュリティを脅かす主な原因として6つを指摘しました。具体的には、ユーザーが脆弱なパスワードを設定すること、パスワードを共有すること、FacebookやGoogleなどの他のアカウントを使用してカメラシステムを管理すること、技術者から引き継ぎを受けた際にパスワードを変更しないこと、カメラにゼロデイ脆弱性があること、パッチを更新していないこと、ストレージサーバーに脆弱性がありハッカーの攻撃を受けていること、分散化が不十分であること（例えば、建設部門と共有したにもかかわらず、権限を失効させていないこと）などが挙げられます。

W-VietNamNetによる監視カメラの基本的なネットワークセキュリティ基準に関する議論.jpg
情報通信省情報セキュリティ局担当副局長トラン・ダン・コア氏。写真：レ・アン・ズン

この問題に関して、情報通信省情報セキュリティ局のトラン・ダン・コア副局長は、一般ユーザー、特にベトナムユーザーのネットワークの安全性とセキュリティに関する意識が依然として低いと述べた。リスクを認識し、パスワードの変更やパッチ適用の必要性を認識しているにもかかわらず、多くの人が関心を示さず、実際に実行していない。これは、情報通信省が監視カメラの基本的なネットワーク情報セキュリティ要件に関する基準を策定する際に重視した点である。情報通信省は5月7日、この基準を公表した。

専門家のヴー・ゴック・ソン氏によると、監視カメラがハッキングされた場合、ユーザーは深刻な結果に直面することになる。家庭にとってまず問題となるのはプライバシーの侵害であり、次にプライベートな画像や機密性の高い音声、その他の犯罪行為を理由に脅迫されるリスクが続く。例えば、ハッカーは監視カメラで収集された画像や音声を用いてディープフェイクを作成する可能性がある。また、遠隔監視されるというリスクもある。

そのため、監視カメラによる情報セキュリティ損失やデータ漏洩のリスクを回避するために、Vu Ngoc Son氏はユーザーに対して次のような推奨事項を示しました。つまり、出所が明確なカメラを選択し、 ビデオの保存場所とユーザー向けのデータセキュリティポリシーを公表する必要があります。引き継ぎ後はすぐにパスワードを変更し、二要素認証を使用します。適切な設置場所を選択し、機密性の高い場所への設置は避け、重要なエリアには標準的なカメラを設置し、重要な情報漏洩を回避し、アクセス構成を最小限に抑える必要があります。定期的に監視し、パッチを更新します。

トラン・ダン・コア氏によると、ユーザーに意識とスキルを身につけてもらうためには、自分自身と組織の保護についても意識する必要があることを周知徹底させる必要があるとのことです。まず、ユーザーはデバイスのパスワードをデフォルトパスワードではなく変更する必要があります。また、デバイスをどこに設置するか、そこに置く必要があるかどうかも判断する必要があります。