Kamera nad wejściem może pomóc ustalić, kto wyniósł sprzęt z magazynu. Nie rozwiąże jednak problemu, jeśli obraz jest nieczytelny, nagranie nadpisuje się po kilku dniach albo dostęp do niego ma zbyt wiele osób. Monitoring CCTV jest skutecznym elementem ochrony firmy tylko wtedy, gdy stanowi część przemyślanego systemu, a nie zestaw przypadkowo dobranych urządzeń.
Dla małej i średniej firmy monitoring ma przede wszystkim ograniczać ryzyko operacyjne: kradzieży, wandalizmu, nieuprawnionego wejścia do strefy z danymi lub towarem, a także sporów dotyczących konkretnych zdarzeń. Dobrze wdrożony system pozwala szybciej odtworzyć przebieg sytuacji i podjąć właściwą decyzję. Źle zaprojektowany bywa za to kosztownym pozorem bezpieczeństwa.
Monitoring CCTV nie zaczyna się od wyboru kamery
Najczęstszy błąd polega na rozpoczęciu rozmowy od parametrów: rozdzielczości, liczby megapikseli czy rodzaju obiektywu. Te kwestie są ważne, ale dopiero po odpowiedzi na prostsze pytanie: czego firma chce pilnować i co ma być możliwe do rozpoznania na nagraniu?
Inaczej projektuje się monitoring wejścia do biura, inaczej placu składowego, a jeszcze inaczej magazynu z wysokimi regałami. Przy bramie może być istotne rozpoznanie twarzy lub tablicy rejestracyjnej. W strefie przyjęć towaru liczy się często możliwość odtworzenia całego procesu. Na parkingu trzeba uwzględnić słabe oświetlenie, reflektory samochodów i zmienne warunki pogodowe.
Przed wdrożeniem warto przejść przez obiekt i wskazać miejsca, w których rzeczywiście powstaje ryzyko. Zwykle są to wejścia, bramy, recepcja, magazyn, serwerownia, pomieszczenia z wartościowym sprzętem oraz ciągi komunikacyjne. Nie każda przestrzeń wymaga kamery. Zbyt szeroki zakres obserwacji zwiększa koszt, komplikuje obowiązki związane z ochroną danych i może budzić uzasadniony sprzeciw pracowników.
Jakość obrazu to nie tylko liczba megapikseli
Nagranie ma pomóc w ustaleniu faktów, a nie jedynie pokazać, że w kadrze coś się poruszało. Dlatego trzeba dopasować kamerę, jej pozycję i obiektyw do konkretnego celu. Kamera ustawiona zbyt wysoko albo zbyt daleko może rejestrować obraz w wysokiej rozdzielczości, lecz nadal nie pozwolić rozpoznać osoby.
Znaczenie ma również oświetlenie. Obraz przy dobrym świetle dziennym może wyglądać poprawnie, a po zmroku stać się bezużyteczny. Warto sprawdzić zachowanie kamer w nocy, przy wejściu z silnym światłem za plecami oraz w miejscach, gdzie pojazdy oświetlają obiektyw reflektorami. Czasem lepszym rozwiązaniem będzie dodatkowe oświetlenie niż zakup droższej kamery.
Nie należy też zakładać, że jedna kamera szerokokątna zastąpi kilka dobrze zaplanowanych punktów obserwacji. Szeroki kadr obejmuje dużą powierzchnię, ale szczegóły stają się mniejsze. To typowy kompromis między kontrolą całej strefy a możliwością identyfikacji zdarzenia.
Gdzie kończy się ochrona, a zaczyna nadmierna kontrola
Monitoring wizyjny wiąże się z przetwarzaniem danych osobowych. Wizerunek osoby, czas jej obecności w obiekcie czy informacje wynikające z kontekstu nagrania mogą pozwalać na identyfikację. Firma musi więc jasno określić cel monitoringu, podstawę jego stosowania, zakres obserwacji oraz zasady dostępu do nagrań.
W przypadku pracowników szczególne znaczenie mają przepisy prawa pracy. Monitoring może służyć między innymi zapewnieniu bezpieczeństwa pracowników, ochronie mienia, kontroli produkcji lub zachowaniu tajemnicy informacji. Nie powinien natomiast być narzędziem stałego, nieuzasadnionego śledzenia każdej aktywności zespołu.
Kamer nie umieszcza się w miejscach, w których mogłyby naruszać godność i prywatność osób, takich jak toalety, szatnie czy pomieszczenia sanitarne. Równie ostrożnie należy podejść do stref socjalnych. Jeżeli monitoring obejmuje pracowników, osoby te powinny zostać odpowiednio poinformowane przed jego uruchomieniem, a obszar monitorowany musi być oznaczony.
Nagrania nie powinny też być przechowywane „na wszelki wypadek” bez końca. Co do zasady okres retencji należy ograniczyć do czasu niezbędnego dla celu monitoringu. W środowisku pracy przepisy przewidują zwykle przechowywanie nagrań nie dłużej niż przez trzy miesiące, z wyjątkami, gdy materiał stanowi dowód w postępowaniu lub firma poweźmie wiadomość, że może nim być. W konkretnych przypadkach warto zweryfikować obowiązki z osobą odpowiedzialną za RODO lub prawnikiem.
Dostęp do nagrań jest równie ważny jak sam zapis
System może rejestrować obraz przez całą dobę, lecz jego wartość spada, jeśli administrator nie potrafi szybko znaleźć potrzebnego fragmentu. W praktyce liczą się poprawnie ustawione daty i czas, logiczny podział kamer, możliwość wyszukania zdarzenia oraz zabezpieczenie materiału przed przypadkowym usunięciem.
Dostęp do podglądu i archiwum powinien mieć tylko wąski, upoważniony krąg osób. Warto rozdzielić uprawnienia: ktoś może oglądać bieżący obraz, ale niekoniecznie eksportować nagrania na nośnik. Każde konto powinno być imienne, chronione silnym hasłem, a tam, gdzie to możliwe, dodatkowym uwierzytelnianiem.
To ważne także z perspektywy cyberbezpieczeństwa. Rejestrator i kamery IP są urządzeniami podłączonymi do sieci. Jeśli pozostaną na domyślnych hasłach, ze starym oprogramowaniem lub bez właściwej konfiguracji sieciowej, same mogą stać się punktem wejścia do infrastruktury firmy. Kamera nie powinna być furtką do danych księgowych, poczty czy systemu sprzedażowego.
Jak połączyć system CCTV z bezpieczeństwem IT
W wielu firmach monitoring jest traktowany jako osobna instalacja, którą interesuje się wyłącznie wtedy, gdy dojdzie do incydentu. To podejście nie odpowiada realiom. System CCTV korzysta z sieci, zasilania, kont użytkowników, oprogramowania i często zdalnego dostępu. Wymaga więc podobnej troski jak inne elementy środowiska IT.
Dobrym kierunkiem jest wydzielenie urządzeń monitoringu w osobnej części sieci, ograniczenie dostępu z internetu oraz regularna aktualizacja oprogramowania kamer i rejestratora. Należy również zaplanować, co stanie się po awarii zasilania lub łącza internetowego. Czy nagrania będą nadal zapisywane lokalnie? Czy firma otrzyma informację, że jedna z kamer przestała działać? Czy po wymianie routera system zostanie poprawnie skonfigurowany?
Warto pamiętać, że zdalny podgląd to wygoda, ale nie powinien oznaczać dostępu dla każdego telefonu w firmie. Właściciel lub osoba odpowiedzialna za bezpieczeństwo może potrzebować wglądu poza biurem. Pracownik bez takiej potrzeby nie powinien dostawać tych samych uprawnień tylko dlatego, że „może się kiedyś przydać”. W bezpieczeństwie takie skróty często kończą się problemem.
Serwis monitoringu wykrywa problemy, zanim zdarzy się incydent
System po montażu nie jest gotowy na zawsze. Kamera może zmienić kadr po silnym wietrze, obiektyw może się zabrudzić, dysk w rejestratorze może zgłaszać błędy, a aktualizacja sieci może odciąć zdalny dostęp. Najgorszy moment na odkrycie takiej usterki to dzień, w którym firma potrzebuje materiału dowodowego.
Regularny przegląd powinien obejmować jakość obrazu w dzień i po zmroku, poprawność zapisu, stan dysków, datę i godzinę na nagraniach, działanie zasilania awaryjnego oraz aktualność oprogramowania. Trzeba również sprawdzić, czy oznaczenia monitoringu są widoczne, dokumentacja dostępu aktualna, a osoby uprawnione nadal rzeczywiście potrzebują swoich kont.
Ceprobi traktuje monitoring jako część większego porządku bezpieczeństwa: obok infrastruktury IT, ochrony danych, kontroli dostępu i ciągłości działania. Taka perspektywa pozwala uniknąć sytuacji, w której jedna firma odpowiada za kamery, druga za sieć, a trzecia za serwer – i żadna nie czuje odpowiedzialności za całość.
Najlepszy monitoring CCTV nie zwraca na siebie uwagi każdego dnia. Działa poprawnie, szanuje prywatność osób w obiekcie i daje firmie wiarygodny materiał wtedy, gdy rzeczywiście jest potrzebny. Warto sprawdzić jego stan zanim wydarzenie wymusi to w pośpiechu.