海康决策混入余则成：三问海康批量泄露最高安保画面

海康威视博鳌安保的官方新闻《海康威视为博鳌论坛再筑“钢铁长城”》一发，看到海康朋友兴致勃勃地转载和品评，无语；看到自己所在一些群内不屑的评论，直言安防是屌丝行业，只有“养肥猪待杀的投资价值”云云，感到非常痛心却也无力反驳。海康的政治敏感性，甚至是最基本的职业素养简直弱爆。毫无疑问，在“安全事件”（也有研究机构定义为“棱镜门”，要警惕自大盲目乐观、要重视人言可畏！）后不到一个月的时间内，海康又自引出“博鳌事件”。为什么事情性质很严重？

　　基本逻辑不难：

　　1、你这数据合规吗？

　　2、即使合规，发得也太不谨慎了。

　　3、好像这个不合法吧。

　　作为最高安保级别的论坛，海康暴露的全部是主会场和核心要道，这是每年各国政要必经要道，被黑客控制后，人身安全是直接问题。而就在一个月前，海康安全事件的导火索就是国外通过入侵海康DVR设备，查到了习大大的视频（群里老朋友的提醒，但没有多点求证，如果不准确请指正）。

　　看到OSD显示5W1H信息俱全的国家元首照，真让人坐不住了。用老百姓的话讲，“发这个闲得”？！

　　“博鳌事件”中，海康犯了至少三类错误：

　　从文章看，所采用的图片是视频监控系统的截图，时间地点人物都非常明确。我们不禁想问：

　　1、海康是从什么途径拿到这些视频？流程合法吗？

　　海康作为设备厂商，只是提供产品和解决方案，然后由客户认可的集成商或工程商进行安装和实施，验收交付后，所有的系统控制权应该全面交给客户，所有视频图像、系统的配置信息等都应该是客户的隐私，应该保密，因此很多项目都要求集成商有保密资质，即要求工程商对客户的内部信息进行保密。

　　厂家即使在大型活动安保中也参与到技术保障中，也不能随意拷取客户数据和录像。

　　如需市场宣传内容，需要向公安部门申请，取得书面的同意，然后还要获得客户的同意，才能拷贝相关数据用于宣传。这些合法流程和手续有吗？如果在客户不知情的情况下获得了相关的数据，那么海康是怎么拿到的？是借助保障工作，骗取了密码？还是设备里面有后门，有所谓超级密码？

　　会场照，这是在安保还是泄密？

　　2、公安核心安保信息如此公开合适吗？

　　安保系统的部署情况是客户的核心保密信息，例如摄像头部署位置，朝向，系统的架构，指挥中心位置等。即使要宣传，这些信息都要模糊再模糊，图片也要模糊化，尤其是国家级别的安保项目，而在海康的宣传中，不加掩饰的公开公安安保的详细信息，部署情况，系统组成和指挥中心位置。这对于一个从事安保行业，尤其服务于如此高级别的安保活动的国内一流厂商，这是严重的不负责任。

　　夸耀无妨，企业有宣传需求，但有必要上图么？

　　3、涉及国家领导人及涉及国家安全的信息披露是否未遵循保密法规？

　　按照我国保密法要求，影响国家领导人，外国要员安全；妨害国家重要安全保卫工作；会造成这些后果的事项泄露都应该列入国家机密及其密级的具体范围。

　　海康文章中的安保信息，车队牌照，车队路线，指挥中心部署（“博鳌安保指挥中心、三亚安保指挥中心、到海南省公安厅图控中心、G98海南环线高速公路监控中心再到海口市公安局交警支队指挥中心、海口美兰国际机场监控中心，海口市局、交警、环博鳌、环亚龙湾、G98环岛高速公路、三亚绕城高速公路……”）按照法规都应该是列入国家机密或相应密级。无论是否获得客户的授权，大范围披露这些信息，是否都已经违规、违法？

　　国外谍报人员天天在翻阅，没有放过我们的每一份报纸，每一份网文。

　　而承担国家安全保障的单位，如此泄密，顶得上多少个余则成呀。海康还是要先查一查自己内部的余则成们。

　　结语：

　　回顾一个月前，难怪海康安全事件会处理得如此不堪，三次声明中：

　　第一次把责任推给了客户（在任何行业都是绝对禁忌！），并以“弱密码”的谎言辩称激发了更多黑客和实验室的探索热情；

　　第二次，终于承认存在漏洞，表现有所好转，其实继续埋头做事就可以了；

　　第三次，竟然公开声明“5家安防企业都有漏洞”，把脏水泼给行业（在我经历的任何行业，都不曾有“一锅摔”的先例。试问老贵族思科、以狼性著称的华为、老对头英特尔AMD、甚至是傲慢贪婪的高通，哪个这么干过？）……更没想到的是，还不到一个月，海康更为健忘，自行制造了“博鳌事件”。令人目瞪口呆。

　　海康，在现实生活中我们都是普通人，你和用户是爱人两口子、你和自家邻居，是这么过日子的么？无意责怪，安防行业的社会口碑，已经足够低了，无需再多一些批评之声。作为行业规模最大的企业，海康毫无疑问要担负起一些必要的责任、具备与发展相适应的过硬素养。

　　为海康献策，也欢迎向我的邮箱（anfangthink@163.com）发布积极的声明，anfangThink的平台始终开放，欢迎积极的声音和改进。