Từ ngày 1/7/2026, camera IP tại Việt Nam phải đáp ứng quy chuẩn an ninh mạng mới
Từ ngày 1/7/2026, Quy chuẩn kỹ thuật quốc gia QCVN 11:2026/BCA về thiết bị camera giám sát sử dụng giao thức Internet chính thức có hiệu lực. Quy chuẩn đặt ra các yêu cầu chặt chẽ hơn về mật khẩu, cập nhật phần mềm, quản lý lỗ hổng, bảo vệ dữ liệu cá nhân và khả năng lưu trữ dữ liệu tại Việt Nam.
Ngày 12/5/2026, Bộ Công an ban hành Thông tư số 48/2026/TT-BCA kèm theo QCVN 11:2026/BCA – Quy chuẩn kỹ thuật quốc gia về thiết bị camera giám sát sử dụng giao thức Internet – Các yêu cầu an ninh mạng cơ bản.
Thông tư có hiệu lực từ ngày 1/7/2026, áp dụng đối với các tổ chức, cá nhân Việt Nam và nước ngoài có hoạt động sản xuất, nhập khẩu, kinh doanh thiết bị camera IP tại thị trường Việt Nam.
Quy định mới đánh dấu bước chuyển quan trọng trong quản lý camera giám sát: camera không còn chỉ được đánh giá dựa trên chất lượng hình ảnh, độ bền hay tính năng, mà còn phải đáp ứng các yêu cầu về an ninh mạng và bảo vệ dữ liệu ngay từ khâu thiết kế, sản xuất và đưa ra thị trường.
QCVN 11:2026/BCA thay thế quy chuẩn nào?
Kể từ ngày 1/7/2026, QCVN 11:2026/BCA thay thế cho QCVN 135:2024/BTTTT về thiết bị camera giám sát sử dụng giao thức Internet – Các yêu cầu an toàn thông tin cơ bản.
QCVN 135:2024/BTTTT được ban hành kèm theo Thông tư số 21/2024/TT-BTTTT của Bộ Thông tin và Truyền thông và sẽ hết hiệu lực khi Thông tư 48/2026/TT-BCA có hiệu lực.
Theo quy chuẩn mới, camera IP được hiểu là camera kỹ thuật số có khả năng kết nối qua giao thức Internet và thực hiện một phần hoặc toàn bộ hoạt động giám sát, ghi hình.
Phạm vi áp dụng tập trung vào các thiết bị camera IP:
- Được sản xuất tại Việt Nam.
- Được nhập khẩu vào Việt Nam.
- Được kinh doanh hoặc lưu hành trên thị trường Việt Nam.
- Có khả năng kết nối mạng và truyền, nhận dữ liệu bằng giao thức Internet.
11 nhóm yêu cầu an ninh mạng đối với camera IP
QCVN 11:2026/BCA đưa ra 11 nhóm yêu cầu kỹ thuật chính mà thiết bị camera IP cần đáp ứng.
1. Mỗi camera phải có mật khẩu riêng
Camera không được tiếp tục sử dụng chung một mật khẩu mặc định cho hàng loạt thiết bị.
Mật khẩu sử dụng sau khi thiết bị được kích hoạt phải:
- Là duy nhất đối với từng camera; hoặc
- Do người sử dụng tự thiết lập.
Trường hợp mật khẩu được cài đặt sẵn bởi nhà sản xuất, cơ chế tạo mật khẩu phải có khả năng chống lại các hình thức dò tìm tự động.
Thiết bị cũng phải cho phép người sử dụng hoặc quản trị viên thay đổi thông tin xác thực và phải có biện pháp ngăn chặn tấn công vét cạn mật khẩu qua mạng.
2. Nhà sản xuất phải có chính sách quản lý lỗ hổng
Nhà sản xuất phải công khai chính sách tiếp nhận và xử lý lỗ hổng bảo mật, trong đó tối thiểu phải có:
- Thông tin liên hệ để tiếp nhận báo cáo lỗ hổng.
- Thời gian xác nhận đã nhận được báo cáo.
- Cơ chế cập nhật tình trạng xử lý.
- Quy trình theo dõi cho đến khi lỗ hổng được khắc phục.
Quy định này giúp người sử dụng biết rõ phải liên hệ với ai khi phát hiện camera có dấu hiệu mất an toàn hoặc tồn tại lỗ hổng bảo mật.
3. Camera phải hỗ trợ cập nhật phần mềm an toàn
Camera IP phải có cơ chế thông báo khi có phiên bản phần mềm mới và cho phép người sử dụng thực hiện cập nhật.
Quá trình cập nhật phải bảo đảm:
- Bản cập nhật có nguồn gốc xác thực.
- Nội dung bản cập nhật không bị chỉnh sửa trái phép.
- Kết nối tải bản cập nhật là kết nối tin cậy.
- Không thể dễ dàng cài đặt firmware giả mạo hoặc chứa mã độc.
- Người sử dụng có thể cập nhật phần mềm bằng phương thức phù hợp.
Nhà sản xuất cũng phải công bố thời hạn hỗ trợ đối với từng chủng loại thiết bị.
4. Các thông tin bảo mật phải được lưu trữ an toàn
Mật khẩu, khóa mã hóa, mã PIN, chứng chỉ số và những tham số bảo mật quan trọng phải được lưu trữ an toàn trong bộ nhớ của thiết bị.
Các thông tin này không được để lộ hoặc dễ dàng bị thay đổi thông qua can thiệp vật lý, phần mềm hay truy cập trái phép.
5. Kênh giao tiếp phải được bảo vệ
Camera phải sử dụng các cơ chế mật mã phù hợp khi truyền thông tin qua mạng.
Những thao tác liên quan đến bảo mật như:
- Thay đổi mật khẩu.
- Thay đổi quyền truy cập.
- Thay đổi khóa mạng.
- Thay đổi cấu hình an toàn.
phải được xác thực trước khi áp dụng.
Các dữ liệu và tham số bảo mật quan trọng khi truyền qua Internet hoặc mạng nội bộ cũng phải được bảo vệ.
6. Giảm nguy cơ bị tấn công qua các cổng và giao diện
Những cổng mạng, giao diện logic hoặc dịch vụ không cần sử dụng phải được vô hiệu hóa.
Camera cũng cần hạn chế tiết lộ thông tin kỹ thuật trước khi người dùng đăng nhập thành công. Trường hợp thiết bị có giao diện gỡ lỗi vật lý, nhà sản xuất phải có cơ chế vô hiệu hóa giao diện này bằng phần mềm.
Đây là yêu cầu quan trọng vì các cổng dịch vụ không cần thiết thường là nơi tin tặc dò quét và tìm cách xâm nhập vào thiết bị.
7. Bảo vệ dữ liệu cá nhân của người sử dụng
Dữ liệu cá nhân nhạy cảm được truyền giữa camera và ứng dụng, máy chủ hoặc dịch vụ đám mây phải được bảo vệ bằng phương thức mã hóa phù hợp.
Nhà sản xuất phải mô tả rõ các chức năng cảm biến có trên camera, chẳng hạn:
- Ghi hình.
- Ghi âm.
- Nhận diện khuôn mặt hoặc dữ liệu sinh trắc học.
- Thu thập dữ liệu vị trí.
- Phân tích hành vi.
- Thu thập dữ liệu vận hành thiết bị.
Người sử dụng cần được biết camera đang thu thập những loại dữ liệu nào và dữ liệu được sử dụng vào mục đích gì.
8. Camera phải có khả năng tự khôi phục sau sự cố
Thiết bị phải có cơ chế khôi phục hoạt động khi:
- Bị mất điện.
- Bị mất kết nối mạng.
- Kết nối Internet bị gián đoạn.
- Hệ thống được khởi động lại.
Sau sự cố, camera cần khôi phục kết nối theo trình tự ổn định, hạn chế nguy cơ mất dữ liệu hoặc hoạt động sai cấu hình.
9. Cho phép xóa dữ liệu người sử dụng
Camera phải có chức năng cho phép người sử dụng xóa dữ liệu đang được lưu trên thiết bị.
Yêu cầu này đặc biệt cần thiết khi camera được chuyển nhượng, thanh lý, thay đổi đơn vị sử dụng hoặc khôi phục về trạng thái ban đầu.
10. Kiểm tra dữ liệu đầu vào
Dữ liệu được nhập từ giao diện người dùng, giao diện lập trình ứng dụng hoặc các dịch vụ kết nối phải được kiểm tra trước khi xử lý.
Cơ chế này giúp hạn chế các cuộc tấn công khai thác dữ liệu đầu vào không hợp lệ, mã độc hoặc các câu lệnh được chèn vào hệ thống.
11. Minh bạch việc thu thập và lưu trữ dữ liệu
Nhà sản xuất phải cung cấp thông tin về:
- Mục đích thu thập dữ liệu cá nhân.
- Cách thức xử lý dữ liệu.
- Nơi lưu trữ dữ liệu.
- Bên thứ ba được tiếp cận dữ liệu, nếu có.
- Các dữ liệu vận hành được gửi từ xa về nhà sản xuất.
Camera phải có chức năng ghi nhận sự đồng ý của người sử dụng đối với việc thu thập, xử lý dữ liệu cá nhân, đồng thời cho phép người sử dụng thu hồi sự đồng ý.
Một nội dung đáng chú ý là thiết bị phải cho phép thiết lập cấu hình để lưu trữ dữ liệu tại Việt Nam.
Điểm mới trong cơ chế quản lý theo mức độ rủi ro
Bên cạnh các yêu cầu kỹ thuật, cơ chế quản lý sản phẩm được thực hiện theo mức độ rủi ro.
Theo nguyên tắc chung:
- Sản phẩm có mức độ rủi ro trung bình có thể thực hiện công bố hợp quy trên cơ sở tự đánh giá và kết quả thử nghiệm của tổ chức thử nghiệm đáp ứng quy định; hoặc dựa trên kết quả chứng nhận phù hợp.
- Sản phẩm có mức độ rủi ro cao phải được chứng nhận bởi tổ chức chứng nhận được cơ quan quản lý chỉ định.
Tuy nhiên, Thông tư 48/2026/TT-BCA cũng quy định rõ: thủ tục công bố hợp quy đối với sản phẩm thuộc QCVN 11:2026/BCA sẽ được áp dụng khi Bộ Công an ban hành Danh mục sản phẩm, hàng hóa có mức độ rủi ro trung bình và mức độ rủi ro cao thuộc trách nhiệm quản lý.
Do đó, các nhà sản xuất, nhập khẩu và phân phối camera cần tiếp tục theo dõi danh mục và hướng dẫn triển khai cụ thể của Bộ Công an.
Camera đã lắp đặt trước ngày 1/7/2026 có phải thay thế không?
QCVN 11:2026/BCA tập trung điều chỉnh các thiết bị được sản xuất, nhập khẩu, kinh doanh và lưu hành trên thị trường Việt Nam.
Quy chuẩn không đồng nghĩa với việc toàn bộ camera đã được lắp đặt trước ngày 1/7/2026 đều phải lập tức tháo bỏ hoặc thay thế.
Tuy nhiên, doanh nghiệp đang sử dụng camera đời cũ vẫn nên kiểm tra lại hệ thống, đặc biệt đối với những thiết bị:
- Vẫn sử dụng mật khẩu mặc định.
- Không còn được nhà sản xuất hỗ trợ firmware.
- Không có khả năng mã hóa kết nối.
- Đang mở trực tiếp các cổng quản trị ra Internet.
- Sử dụng dịch vụ đám mây không rõ nơi lưu trữ dữ liệu.
- Không có nhật ký truy cập.
- Không thể phân quyền người sử dụng.
- Không cho phép xóa dữ liệu hoặc khôi phục cấu hình an toàn.
Những thiết bị không còn được cập nhật bảo mật có thể trở thành điểm yếu để kẻ xấu truy cập vào mạng nội bộ của doanh nghiệp.
Người mua camera cần kiểm tra gì từ ngày 1/7/2026?
Khi lựa chọn camera IP mới, người dùng và doanh nghiệp không nên chỉ so sánh độ phân giải hoặc giá bán. Cần kiểm tra thêm các tiêu chí sau:
- Sản phẩm có nguồn gốc và nhà phân phối rõ ràng.
- Model thiết bị có tài liệu kỹ thuật đầy đủ.
- Camera yêu cầu tạo mật khẩu riêng khi kích hoạt.
- Nhà sản xuất có chính sách cập nhật firmware.
- Có thông tin về thời hạn hỗ trợ sản phẩm.
- Có khả năng mã hóa dữ liệu và kết nối quản trị.
- Có cơ chế phân quyền tài khoản.
- Có khả năng xóa dữ liệu và khôi phục cài đặt.
- Có tùy chọn lưu trữ tại Việt Nam hoặc lưu trữ nội bộ.
- Có đơn vị lắp đặt và hỗ trợ kỹ thuật sau bán hàng.
- Có tài liệu về hợp quy theo lộ trình quản lý được ban hành.
Đối với dự án camera tại nhà máy, văn phòng, kho hàng, trường học, bệnh viện hoặc chuỗi cửa hàng, doanh nghiệp nên yêu cầu nhà cung cấp nêu rõ phương án bảo vệ dữ liệu, quản lý tài khoản và cập nhật thiết bị ngay từ hồ sơ đề xuất kỹ thuật.
Doanh nghiệp nên chuẩn bị gì?
Đối với nhà nhập khẩu và phân phối camera
Doanh nghiệp cần làm việc sớm với nhà sản xuất để chuẩn bị:
- Hồ sơ kỹ thuật của từng model.
- Tài liệu mô tả cơ chế mật khẩu.
- Chính sách xử lý lỗ hổng.
- Chính sách cập nhật firmware.
- Thời hạn hỗ trợ sản phẩm.
- Thông tin về lưu trữ và xử lý dữ liệu.
- Kết quả thử nghiệm, chứng nhận và hồ sơ công bố hợp quy khi có yêu cầu.
Đối với đơn vị tích hợp và lắp đặt
Đơn vị triển khai cần rà soát danh mục sản phẩm đang cung cấp, ngừng đề xuất những model không còn được hỗ trợ và chuẩn hóa quy trình bàn giao.
Mỗi hệ thống sau khi lắp đặt cần được:
- Đổi mật khẩu mặc định.
- Phân quyền người quản trị và người xem.
- Cập nhật firmware.
- Tắt các cổng và dịch vụ không cần thiết.
- Tách mạng camera khỏi mạng người dùng.
- Cấu hình truy cập từ xa an toàn.
- Sao lưu cấu hình.
- Lập danh sách thiết bị, phiên bản phần mềm và thời hạn bảo hành.
Đối với doanh nghiệp đang sử dụng camera
Doanh nghiệp nên kiểm kê toàn bộ camera, đầu ghi, máy chủ lưu trữ và tài khoản truy cập hiện có.
Việc kiểm kê cần xác định rõ:
- Hãng và model thiết bị.
- Phiên bản firmware.
- Địa chỉ IP.
- Vị trí lắp đặt.
- Tài khoản quản trị.
- Người đang được cấp quyền truy cập.
- Nơi lưu trữ hình ảnh.
- Thời gian lưu dữ liệu.
- Trạng thái bảo hành và hỗ trợ kỹ thuật.
An toàn camera không chỉ phụ thuộc vào thiết bị
Một chiếc camera đáp ứng yêu cầu kỹ thuật vẫn có thể mất an toàn nếu hệ thống được triển khai không đúng cách.
Các lỗi phổ biến thường gặp gồm:
- Sử dụng một mật khẩu cho toàn bộ camera.
- Mở cổng quản trị trực tiếp ra Internet.
- Dùng tài khoản quản trị chung cho nhiều nhân viên.
- Không cập nhật firmware.
- Không tách mạng camera khỏi hệ thống văn phòng.
- Không giới hạn thiết bị được phép truy cập.
- Không kiểm tra nhật ký đăng nhập.
- Không thu hồi tài khoản khi nhân sự nghỉ việc.
- Không có quy trình sao lưu và khôi phục cấu hình.
Vì vậy, bên cạnh lựa chọn camera phù hợp quy chuẩn, doanh nghiệp cần xây dựng đồng bộ hạ tầng mạng, tường lửa, phân quyền tài khoản và quy trình vận hành hệ thống.
SMNET cung cấp giải pháp camera an ninh trọn gói cho doanh nghiệp
SMNET cung cấp dịch vụ tư vấn, thiết kế, thi công và bảo trì hệ thống camera giám sát cho văn phòng, nhà máy, kho hàng, chuỗi cửa hàng, trường học và các công trình doanh nghiệp.
Các hạng mục triển khai bao gồm:
- Khảo sát nhu cầu và vị trí lắp đặt.
- Tư vấn lựa chọn camera chính hãng.
- Thiết kế hệ thống mạng và lưu trữ.
- Triển khai camera IP, đầu ghi và máy chủ.
- Cấu hình phân quyền người dùng.
- Tách mạng camera bằng VLAN.
- Bảo vệ truy cập từ xa bằng VPN và firewall.
- Cập nhật firmware và tăng cường bảo mật thiết bị.
- Kiểm tra dung lượng và thời gian lưu hình.
- Bảo trì, xử lý sự cố và nâng cấp hệ thống.
- Rà soát hệ thống camera hiện hữu theo các yêu cầu an ninh mạng mới.
Doanh nghiệp đang có kế hoạch đầu tư mới hoặc nâng cấp hệ thống camera nên ưu tiên các sản phẩm có nguồn gốc rõ ràng, còn được nhà sản xuất hỗ trợ và có lộ trình đáp ứng QCVN 11:2026/BCA.
Liên hệ SMNET để được khảo sát và tư vấn giải pháp camera phù hợp:
- Website: smnet.vn
- Email: hello@smnet.vn
- Điện thoại: 028 7301 6068
Câu hỏi thường gặp về QCVN 11:2026/BCA
QCVN 11:2026/BCA có hiệu lực từ ngày nào?
Quy chuẩn có hiệu lực từ ngày 1/7/2026 theo Thông tư số 48/2026/TT-BCA của Bộ Công an.
Quy chuẩn áp dụng cho loại camera nào?
Quy chuẩn áp dụng đối với camera kỹ thuật số có khả năng kết nối bằng giao thức Internet, thực hiện một phần hoặc toàn bộ chức năng giám sát, ghi hình.
Camera analog có thuộc phạm vi áp dụng không?
Camera analog thuần túy không trực tiếp sử dụng giao thức Internet không phải đối tượng được mô tả trực tiếp trong quy chuẩn. Tuy nhiên, hệ thống sử dụng đầu ghi kết nối Internet vẫn cần được đánh giá về an toàn mạng, tài khoản truy cập và bảo vệ dữ liệu.
Camera cũ có bắt buộc phải thay ngay từ ngày 1/7/2026 không?
Quy chuẩn tập trung vào hoạt động sản xuất, nhập khẩu, kinh doanh và lưu hành sản phẩm. Không có nghĩa toàn bộ camera đang sử dụng phải tự động thay thế vào ngày 1/7. Tuy vậy, các thiết bị không còn được cập nhật hoặc tồn tại nguy cơ bảo mật nên được rà soát và nâng cấp.
Camera có bắt buộc lưu toàn bộ dữ liệu tại Việt Nam không?
Quy chuẩn yêu cầu thiết bị có chức năng cho phép thiết lập cấu hình để lưu trữ dữ liệu tại Việt Nam. Phương án lưu trữ cụ thể còn tùy thuộc nhu cầu, mô hình triển khai và các quy định pháp luật liên quan đến dữ liệu.
Từ ngày 1/7/2026, camera đã bắt buộc phải có giấy hợp quy mới chưa?
Thông tư quy định việc công bố hợp quy sẽ được áp dụng khi Bộ Công an ban hành danh mục sản phẩm, hàng hóa có mức độ rủi ro trung bình và mức độ rủi ro cao thuộc trách nhiệm quản lý. Doanh nghiệp cần tiếp tục theo dõi danh mục và hướng dẫn thực hiện tương ứng.
