監控攝影機的資安認證：標案指名的到底是哪一張？

前言

公部門的監控標案幾乎都會有一句「須符合國內資安相關規範」或「須具資安標章」。看起來是一句話，實際上你要回答三個問題：哪一張標章、哪一個等級、證書還在不在有效期內。

我們整理自家監控目錄的時候發現一件事：同一台攝影機的原廠規格表上，同時列著兩個不同發證單位、而且級數不一樣的認證。目錄裡 72 台 ACTi 機種，有 24 台帶這類標註 —— 也就是說，三分之二的機種在這種標案裡是直接出局的，而剩下三分之一還得再分辨清楚。

這篇講的就是怎麼分辨。

一、規格表上實際會出現的字串

不是「有認證」或「沒認證」兩種而已。我們在原廠規格表上實際抓到的寫法至少有這幾種：

最後那一種最麻煩。標案要求「Level 2 以上」的時候，規格表上只寫單位不寫級數，等於你不能拿它去投——要回頭跟原廠要證書影本。

二、TAICS 和 TCA 不是同一件事

這是最常被混過去的一點。台灣的 IoT 資安標章不是只有一個來源，規格表上出現的 TAICS 與 TCA 是兩個不同的發證單位，各自有自己的評估級距。所以會出現「同一台機器 TAICS 是 Level 1、TCA 是 Level 2」這種看起來矛盾、實際上完全正常的標示。

實務上的影響很直接：

• 標案文件寫「須具 TAICS 資安標章 Level 2」→ 那台 TCA Level 2 的機器不符合
• 標案文件只寫「須具資安標章」→ 兩張都可以，但審查時要說清楚你送的是哪一張
• 標案文件寫「Level 2」但沒寫單位 → 這是承辦的疏漏，投標前發問，不要自己解釋

最後那一條是最實際的建議。把解釋權留給自己，最後在決標時被推翻的成本遠高於發一封問題函。

三、CNS 16120 是國家標準編號，不是品牌

`CNS-16120 Level 1` 裡的 CNS 是中華民國國家標準的編號系統。它是標準本身，發證的是上面那些單位。

所以「符合 CNS 16120」和「取得 TAICS 標章」講的是兩層：前者是這台機器對到哪一份標準，後者是誰驗的、驗出什麼等級。兩者通常一起寫，但在標案文件裡可能只出現其中一個，得看清楚要求的是哪一層。

四、等級的差別，在於「驗了什麼」而不是「好不好」

級數高低不等於攝影機畫質好壞，也不完全等於「比較安全」。它反映的是通過了哪一組檢測項目——通常越高的等級涵蓋越多面向（例如韌體更新機制、預設密碼處理、通訊加密、存取控制）。

我們不會在這裡列出各級的完整檢測項目，因為那會隨標準改版而變，寫死在一篇文章裡只會過期後誤導人。要精確的內容，去看證書上載明的標準版本與檢測範圍。這篇能幫你的是：知道要去看那份東西。

五、資安版韌體在現場的副作用

這一段不是標案要求，是裝機的時候才會遇到的事，而且沒有人會在型錄上寫。

資安強化過的韌體，常常把「方便」的功能一起關掉。我們替資安版 IP 攝影機寫批次開通工具的時候踩到的就是這個：業界標準的裝置自動發現介面在資安版韌體上根本不存在，也就是說你平常用的搜尋工具掃不到機器。傳輸層也需要相容較舊的實作，不能假設一定能用最新版的用戶端。

最後我們改走網頁 CGI 把同一件事做完：測試連線、建立管理員帳號、設定靜態 IP 與閘道 DNS、自動抓回 MAC 並產出對照表。單台設定從人工約五分鐘壓到約十秒。

為什麼這件事值得一提：一個案場上百台設備，逐台進網頁後台設定是整個工程裡最耗時、也最容易出錯的一段。如果你的施工估價是照「一台五分鐘」抓的，資安版機種會讓你估錯，因為連掃描找機器這一步都要另外想辦法。

六、採購前的檢查清單

1. 標案文件要求的是哪一張標章、哪一個等級？沒寫清楚就發問題函，不要自己解釋
2. 規格表上有寫級數嗎？只寫單位的，跟原廠要證書影本
3. 證書還在有效期內嗎？標章有期限，型錄上的標註不會自己過期但證書會
4. 這個型號還在產嗎？認證是綁型號的，停產品的證書救不了你的交期
5. 裝機工時怎麼估？資安版韌體可能讓你的批次設定流程整個失效

第四點順帶一提：我們整理目錄的時候實測過，原廠官方 sitemap 會包含已停產的型號 —— 139 個候選裡有 73 個已停產，超過一半。停產與否只能從產品頁的標題判斷，光看有沒有規格表是看不出來的。所以從官網型錄挑型號投標，是有風險的。

我們會先問你三個問題

有人來問監控設備的時候，我們通常先問這三件事，再談型號：

1. 這是標案還是自用？標案先看認證清單再看規格，自用反過來
2. 一個案場幾台？超過二三十台，裝機流程的成本會超過設備單價的差額
3. 既有的錄影主機是什麼？攝影機要接得進去，ONVIF 相容性比畫素重要

供電那一段另外寫了一篇：PoE 交換器怎麼選？總供電瓦數才是那個會踩到的數字。帶加熱器的戶外機種很吃電，台數一多就會撞到交換器的供電上限。

我們的監控設備目錄裡，帶台灣 IoT 資安認證的機種全部保留，其餘只留各機身外型的代表機型。理由就是這篇講的：那是公部門標案的硬門檻，也是一份型錄最有用的部分。