保安攝影機是否為 CRA 重要產品？

如何分類一次攝影機釋出？

從銷售方案出發，而不是從攝影機殼體出發。路線取決於銷售主張、買方所仰賴的功能，以及隨該釋出一併供應的數位元件。

把圖示當成路線輔助，而非最終分類紀錄。書面紀錄仍應寫明確切的銷售主張、預定用途與出貨邊界。對智慧家庭攝影機而言，關鍵詞是「具備保安功能的智慧家庭產品」。銷售用途為居家監看、入侵監看、嬰兒監看或警報整合的攝影機屬於該類別；一般用途的網路攝影機通常不屬於。

接著檢驗是否有另一項列名功能才是實際運作的核心。重要產品分類依產品的核心功能，而非碰巧夾帶其中的部件：嵌入某項保安相關元件不會把整個銷售方案拉進重要路線。如果攝影機其實是被當成防火牆、VPN 閘道器、門禁讀卡器、生物辨識裝置、身分管理系統或特權存取管理產品銷售，只是恰好附帶鏡頭，請先就該核心功能分類。

專業監看不要硬套到智慧家庭類別。專業 CCTV 攝影機、VMS 或 NVR 在 CRA 下仍可能是含數位元件的產品，仍需保安要求、支援期間規劃、漏洞處理與技術文件。類別取決於預定用途、出貨邊界與核心功能。

分類備忘錄應回答四個問題：

1. 攝影機是否銷售用途為居家保安、嬰兒監看、門鈴保安或警報整合？
2. 攝影機是否為產品的核心功能？或是防火牆、VPN、門禁、生物辨識或身分功能才是實際運作的主角？
3. 為了預定功能供應了哪些數位元件：韌體、本地儲存、應用程式、製造商雲、更新服務與漏洞處理？
4. 哪些系統不在製造商的銷售方案內：客戶路由器、第三方錄影機、安裝商網路、外部身分提供者或監看中心？

產品邊界與隨附元件

對攝影機製造商而言，合規邊界鮮少只有塑膠外殼。應依上市產品本身，以及預定保安功能所需的數位元件設定。

通常落在攝影機製造商邊界內：裝置韌體與其上運作的所有服務、網路介面堆疊、裝置內儲存、製造商指示買方安裝的隨附應用程式、為提供產品文件化功能而由製造商運作的雲服務、OTA 更新基礎設施，以及其背後的漏洞處理流程。

通常落在該邊界外，除非製造商實際銷售該層：買方的家庭路由器、客戶自行選用的第三方 VMS 或 NVR、安裝商現場網路、用於 SSO 的外部身分提供者，以及另立合約的專業監看中心。

攝影機架構檢查點

攝影機釋出檔案應依實際影像產品，而非通用 IoT 檢核清單而設。電池 Wi-Fi 攝影機、PoE 半球攝影機、行動網路戶外攝影機，以及與 NVR 一起銷售的攝影機，可以共用分類討論，但需要不同的工程紀錄。

把圖示當釋出檔案地圖，不是必要部署模式。製造商仍需為自家攝影機、應用程式、雲服務、更新路徑與支援模式，寫明確切的變體邊界。

1. 影像與控制路徑。 列出所有可檢視、儲存、匯出或控制影像的路徑：本地串流、Web 管理介面、應用程式工作階段、雲端中繼、分享連結、支援匯出，以及 NVR 或 VMS 相容性主張。
2. 本地曝險。 設定完成後與更新後對攝影機掃描。指出哪些服務可達、哪些需要驗證，以及哪些串流或管理路徑維持停用。
3. 客戶系統。 把路由器、安裝商網路、第三方錄影機、外部身分提供者與監看中心視為攝影機製造商產品之外，除非製造商把該層作為銷售方案的一部分供應。
4. 製造商供應的後端。 判定是否納入帳號服務、簽章管線、事件或通知服務、支援入口、付費功能旗標服務，以及任何雲端 ML 路徑。
5. 更新授權。 把更新授權視為雙向交換：攝影機檢查或接收更新中繼資料，更新服務回傳該確切變體的簽章韌體或應用程式套件。簽章更新、復原插槽、降級拒絕與使用者通知紀錄應與釋出版本一同留存。
6. 供應商輸入。 為 SoC、Wi-Fi 模組、媒體堆疊、AI 模型、P2P SDK 與開機載入器各自指派負責人、版本、通告監看與釋出決定。
7. 上市後迴圈。 漏洞通報、重大事件、供應商通告與場域故障應更新威脅模型、殘留風險紀錄、技術檔案與下一個釋出閘門。

攝影機風險評估實作範例

把本節以下內容當作一個攝影機實作範例來讀，而不是可直接複製的檢核表。意圖是展示攝影機製造商對單一具體變體應能辯護到何種深度：晶片組與模組選擇、韌體版本、雲端中繼、OTA 通道、實際監看的供應商通告、註冊的銷售通道，以及承諾的支援視窗。

我們在評估什麼產品？

範例產品，非真實裝置：ExampleCo IndoorCam X1，於歐盟銷售用於家庭保安監看的室內智慧家庭攝影機。它錄製 1080p 影像與音訊、把片段儲存於 microSD 卡、透過行動應用程式對擁有者串流即時影像、設定期間提供本地 Web 管理介面、首次使用時以 BLE 進行配對、以 Wi-Fi 連線，並由製造商接收簽章韌體更新。

本範例的產品邊界包含攝影機硬體、嵌入式韌體、microSD 錄影、行動應用程式配對流程、製造商雲端中繼、帳號服務、OTA 更新服務、資安通告流程，以及漏洞通報窗口。不包含客戶路由器、第三方 VMS／NVR、家庭自動化平台或專業監看中心。

產品的預定使用者為室內家庭環境中的非技術背景家用使用者。不適用於工業 CCTV、公共空間監看、門禁、生物辨識、身分驗證、職場監看或關鍵基礎設施保安作業。

撰寫威脅表前，先測試三條通常會驅動風險評估的攝影機路徑：影像保管、裝置身分與設定後曝險。這些圖把實作範例變成工程問題，而不是通用威脅清單。

影像保管與檢視路徑風險檔案應指出即時或錄影內容在何處被產生、儲存、中繼、檢視與匯出。

影像保管細節：來源是攝影機感測器、麥克風與編碼器，含影像調校 blob、音訊路徑、隱私遮罩、AI 偵測輸入與串流設定檔，並綁定到韌體版本。本地檢視路徑包含 ONVIF、RTSP、Web 預覽或瀏覽器，並由驗證與曝險掃描確認。遠端檢視路徑包含雲端中繼、P2P SDK 或擁有者應用程式，並由權杖範圍與中繼測試確認。本地媒體路徑包含 microSD 片段與抽取式儲存，並由重設與抽卡測試確認。支援路徑包含支援包與診斷匯出，並由遮蔽檢核表確認。

重設、解綁與 RMA 抹除測試證明哪些影像、權杖與帳號連結會在轉售、整新或支援移交之前被移除。

釋出閘門：產品資安負責影像保管測試、支援負責遮蔽檢核表、韌體與雲端工程負責串流清單。釋出紀錄：保管路徑測試、串流服務清單與支援包遮蔽結果。

擁有權與影像保管是兩件不同的檢查。攝影機可能串流受到保護，但若舊擁有者、共用使用者或復原後的手機在移轉後仍保有存取，仍可能失敗。

誰可以宣示、使用與移轉攝影機？身分紀錄應跟著裝置走，從出廠配置、擁有者設定、日常使用到移轉與退貨處理。

身分生命週期細節：出廠配置建立攝影機金鑰或憑證、記錄硬體身分、鎖定量產除錯存取。擁有者設定使用通過驗證的帳號加上一次性、短效的 QR、BLE 或應用程式宣示權杖，攝影機綁定後關閉首次使用視窗。日常運作對密碼重設、帳號復原、手機遺失復原、家庭分享、訪客檢視者與瀏覽器工作階段，套用同一套撤銷模型。擁有者移轉需要授權的解綁路徑，先移除舊帳號、撤銷已分享使用者、終止有效工作階段，攝影機才可被再次宣示。出廠重設、RMA 與整新依產品設計移除帳號連結、憑證、片段與診斷；RMA 處理不應淪為竊盜洗白路徑。

濫用測試：設定權杖會到期、為一次性，且擁有者宣示後鄰近攻擊者無法再用；舊手機、訪客使用者或瀏覽器工作階段在復原後無法繼續取得即時或錄影存取；本地重設不會留下雲端綁定、帳號權杖或片段。

證據閘門：出廠配置、擁有者宣示、共享存取授予、工作階段撤銷、手機遺失復原、移轉與退貨處理已一同測試，才關閉釋出。釋出紀錄：出廠配置紀錄、宣示權杖測試、授予／撤銷測試、雲端解綁結果與 RMA 抹除紀錄。

擁有權測試完之後，檢查網路、應用程式、抽取式媒體與支援流程上還可達的服務。這把曝險審視綁回實際出貨行為，而不是通用的埠掃描結果。

設定後仍可達的存取面是哪些？把它當作 LAN 服務、雲端檢視、抽取式媒體與支援診斷的釋出測試地圖。

存取面細節：本地 LAN 服務包含 RTSP、ONVIF、Web 管理介面與探索端點，釋出紀錄為曝險掃描。遠端檢視包含雲端中繼、分享與裝置身分，釋出紀錄為雲端權杖範圍測試。抽取式媒體包含 microSD 片段、重設行為與儲存決策，釋出紀錄為 microSD 重設結果。支援診斷包含日誌、當機傾印與支援模式,釋出紀錄為支援模式稽核樣本。

測試閘門：首次設定後與每次相關更新後，QA 重跑服務清單，支援檢查診斷匯出。釋出紀錄：曝險掃描、雲端權杖範圍測試、microSD 重設結果與支援模式稽核樣本。

我們要保護哪些資產？

攝影機在同一個外殼裡保護的東西差異極大：孩子房間的錄影片段、可以控制鏡頭轉向的擁有者帳號，以及控制今年所有出貨裝置的韌體簽章金鑰，都活在同一項產品背後。先把它們列為不同資產，因為控制集、測試證據與釋出紀錄在它們之間有極大差異。

主要的信任邊界在哪裡？

攝影機同時身處五個地方：裝置本身、室內任何人都能取出的 microSD 卡、與手機及不明 IoT 對等裝置共用的家庭網路、觸及每一支現場攝影機的製造商後端，以及握有即時工作階段的擁有者手機或瀏覽器。每一處改變攻擊者的機會，要求不同的控制面，因此即使彼此相連，信任邊界模型仍將其分別列出。

應先評估哪些威脅？

本範例先列出十六項產品專屬威脅。重點不在於窮盡，而是展示製造商應能展現的可追溯深度。

初步風險應如何排序？

選定控制前，先用簡單的內部評等。本範例中，機率依曝險與攻擊者機會；影響依隱私傷害、機群規模、持續性，以及威脅是否破壞某項保安機制。具體標籤不如旁邊記下的理由重要。

採用釋出閘門位階，讓每一項攝影機風險不致都拿到同一種裁定：

哪些設計控制能改變風險樣貌？

把每一列控制綁回具體的攝影機測試，而非通用的安全開發檢核表。釋出檔案應能從威脅編號指向證明該控制運行於出貨韌體版本上的精確配對測試、串流驗證掃描、簽章更新驗證日誌、設定後服務清單或 RMA 抹除紀錄。

控制套用後仍存的殘留風險？

控制不會關閉檔案。攝影機出貨後，製造商仍需運行積極管理的風險：韌體更新通道、擁有者帳號接管路徑，以及支援期間在 Wi-Fi 堆疊、媒體函式庫與 P2P SDK 不斷浮現的長尾供應商 CVE。殘留紀錄唯有當製造商能指出對這些訊號的即時監看、對新通告的分流決定、實際送達已部署攝影機的簽章更新、發出的擁有者通知，以及每一筆背後的矯正措施時，才算可信。

釋出閘門即是風險登錄表本身。不要另外加一張只是把同樣工作再說一次的「資安已審視」卡片。簽核時，釋出負責人應能從阻擋或條件性威脅，指向其結案證據：T1/T2/T5/T14 的配對與串流測試、T3 的權杖撤銷、T6 的簽章更新測試、T8 的儲存／重設證據、T12 的 RMA 抹除證據，以及 T11/T16 的供應商監看。

從概念到支援的攝影機開發擁有權

主導擁有權隨著攝影機由產品定義走到上線支援而轉移。利用這份移交，在每一階段指派一位主導人、一份維護中的紀錄與一道審視閘門。

擁有權細節：產品與資安在概念階段擁有變體邊界備忘錄。產品資安與韌體、雲端在架構階段擁有信任邊界圖、威脅登錄表與閘門位階。韌體、雲端、應用程式、供應商負責人在實作階段維護簽章更新規則、權杖與工作階段控制、元件清單、供應商通告來源與功能旗標決定。QA 與產品資安在驗證階段維護曝險掃描、串流驗證測試、影像保管測試、重設或 RMA 抹除演練與殘留風險決定。合規與釋出負責人維護釋出包、技術檔案目錄、操作說明、支援期間聲明、簽章宣告、進口商包與通報整備。PSIRT、支援與工程於釋出後維護接收、供應商通告分流、使用者通知、簽章修補、端點下架、回歸測試與矯正措施紀錄。

移交細節：於架構工作前凍結邊界、於實作前凍結設計意圖、於驗證前凍結候選版本、於釋出前凍結決定，並讓釋出在支援期間持續運作。進來的通報、供應商通告、事件結果與回歸結果會重新開啟下一輪邊界備忘錄、威脅登錄表與元件清單。

擁有權規則：這是一條主導鏈，不是完整 RACI 矩陣，也不是一次性釋出檢核表。每一位主導人在攝影機變動期間擁有該紀錄，支援階段的發現會回饋下一輪概念審視。

製造商證據地圖

審視者或公告機構評鑑員走過一份攝影機技術檔案的方式，就像安裝者走過一個箱子：從貼有標籤的產品開始，經過隨附的數位元件，到買方被承諾的支援證據。下表列出攝影機製造商應為這趟巡禮維持最新的紀錄；每一列都應是產品資料夾中持續維護的檔案，而不是簽核前抓的截圖。

適合性評估路線

攝影機邊界、風險評估、控制與殘留風險都清楚之後，才選擇適合性路線。否則路線決定會跑在工程紀錄之前。

選定的路線連同釋出簽核紀錄一同保存，包含所依憑的參照、其涵蓋的要求，以及任何迫使採第三方路線的缺口。

製造商釋出簽核

攝影機釋出到歐盟市場之前，簽核應將分類、邊界、威脅模型、控制、更新路徑與上市後流程匯聚為單一決策。下表為審視者可由此檢索的簡要釋出檔案。

經濟營運者交接檢查

釋出檔案應讓從製造商到進口商、經銷商與自有品牌賣家的交接可被檢驗。對攝影機而言，弱點通常不只是 CE 標章本身，而是出貨、上架、應用程式、雲服務與更新通道是否仍與已評估的釋出一致。

歐盟銷售前由誰檢查攝影機？在假設已評估的釋出仍與箱子一致之前，先做出貨、上架、授權與角色變動檢查。

經濟營運者交接細節：製造商或自有品牌業者擁有該支攝影機釋出的製造商檔案。進口商於將出貨投放歐盟市場之前，先確認分類理由、宣告、CE 標章控制、技術檔案目錄、支援期間聲明、漏洞通報窗口、元件清單處理、目的地語言說明，以及進口商身分。經銷商於銷售前檢查可見的盡職護理訊號，包含 CE 標章、隨附文件、製造商與進口商可追溯性、目的地語言說明、支援與更新聲明、線上上架一致性，以及已知不符合訊號。

停止條件：若釋出檔案、可追溯性、支援聲明、應用程式或雲端依賴、更新通道或已知漏洞令人有理由認為釋出不符合，則暫停出貨或上架。EU 授權代表授權書與進口商或經銷商盡職護理分開審視。製造商角色觸發：當自有品牌、韌體、應用程式、雲端、更新通道、橋接、NVR 組合或預定用途的變動可能影響符合性或預定用途時，重新跑一次製造商角色分析。GDPR、無線電設備指令資安、生物辨識、AI Act 與 NIS2 的問題與 CRA 分類答案分開處理。

釋出閘門：當釋出檔案、可追溯性、支援聲明、應用程式或雲端依賴、更新通道、責任營運者資料或已知漏洞與已評估的釋出衝突時，不要把攝影機從出貨推進到上架。

下一張圖作為角色檢核表。第一張交接圖呈現出貨與上架流程；這張把進口商、經銷商、授權代表、自有品牌賣家與相鄰法規審視者各自的檢查分開。

歐盟銷售前的五項角色檢查每一位經濟營運者與相鄰法規在攝影機抵達歐盟買方之前各自負責特定驗證。

每個角色面板把營運者應跑的驗證與暫停出貨、上架或釋出的停止條件配對列出。進口商與經銷商位於 CRA 流程本身。授權代表僅在製造商非歐盟時適用，並與進口商或經銷商的盡職護理分開審視。自有品牌賣家的檢查可能因為變動足以影響符合性或預定用途而產生製造商角色；分類、符合性聲明、技術文件、通報流程與支援期間規劃不可作為非正式的供應商承諾繼承。相鄰法規（GDPR、無線電設備指令資安、AI Act、NIS2）留在 CRA 分類答案之外，需要各自獨立的評估。