GB35114的A/B/C级确保视频监控系统的数据安全

“监控视频被内部人员拷走”“某个案子的录像被质疑造假”“网上流传出一段本该保密的监控画面”——这类新闻每隔一段时间就会出现一次。它们指向的是同一个问题：监控系统的信息安全。

应对这个问题的国家标准是 GB 35114—2017《公共安全视频监控联网信息安全技术要求》。这是一部强制性国家标准，2017 年 11 月 1 日发布、2018 年 11 月 1 日实施，由公安部提出、全国安全防范报警系统标准化技术委员会（SAC/TC100）归口。它规定了公共安全领域视频监控联网系统中视频信息以及控制信令的信息安全保护技术要求，适用于公共安全领域视频安全系统的方案设计、系统检测、验收，以及相关设备的研发和生产；其他视频系统可参考采用。

对做项目的人来说，这部标准最需要理解的是两件事：它把安全能力分了三级，以及它保护的层次和常见的 HTTPS、VPN 完全不在一个位置上。

一、A / B / C 三级：一级加一件事

GB 35114 根据安全保护强弱，把具有安全功能的前端设备的安全能力分为三个等级，由弱到强分别是 A 级、B 级、C 级。这三级的定义非常清晰，是“层层叠加”的关系。

A 级：身份真实。要求具备基于数字证书与管理平台双向身份认证的能力。它解决的问题是“这台设备是不是它自称的那台”。这一点相比传统做法是一个实质性的进步——过去摄像机接入平台靠的是 IP 绑定、MAC 绑定，或者用 GB/T 28181 的 SIP 注册，这些手段都比较薄弱，很容易被冒充或篡改。

B 级：来源真实、防篡改。在 A 级的基础上，增加了对视频数据签名的能力。达到的效果是：身份真实、视频确实来自那台真实设备，并且能够校验视频内容是否遭到篡改。这一级的意义在取证场景里非常直接——它能证明“这段录像没有被改过”。

C 级：内容加密。在 B 级的基础上，增加了视频数据加密的能力。达到的效果是在前两条之上，再叠加“视频内容被加密保护”——即便数据被截获或被拷走，没有密钥也看不到内容。

这里有一个必须记清的细节：C 级包含 B 级的全部内容，B 级包含 A 级的全部内容。所以选型时如果项目要求 C 级，那台设备就同时具备了 A、B、C 三级的能力。设备分三级，平台软件同样要分三级——这一点在采购时经常被漏掉。

二、它保护的是码流，不是通道

这是理解 GB 35114 的关键，也是它和很多人的直觉不一样的地方。

HTTPS 和 VPN 保护的是“传输通道”。数据在通道里是加密的，但到了两端就是明文——摄像机送出的码流是明文，平台收到的也是明文，存在硬盘上的录像更是明文。结果是：谁拿到硬盘、谁有平台账号，谁就能看到内容，也能随手把录像另存成 MP4 传播出去。它们挡得住外部窃听，挡不住内部人员。

GB 35114 保护的是“视频数据本身”。签名信息嵌入在视频码流中，加密也作用在码流上，密钥由平台的密钥管理体系管控。这样一来，数据即使离开系统也仍然受保护——截获了也解不开。

有一个能直接感知到的差别：加了 GB 35114 之后，录像不再能随意转存成普通 MP4 播放——客户端要通过 UKEY 这类密码设备验证使用者身份，才能进行验签和解密观看。二次传播的范围就被限制住了。这正是 GB 35114 相比传统手段最实在的价值之一。

同时要记住标准里的一条硬要求：GB 35114 要求使用国家密码管理局批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法，并且这些算法要通过获得国家密码管理局批准的安全密码产品实现。也就是说，这套体系是以国密算法为基础的，不是随便什么加密算法都算数。

还有一点值得提前说明：GB 35114 主要解决的是信息安全问题，它并不覆盖“设备安全”——也就是摄像机本身的芯片、操作系统会不会被攻击这类问题。这两类安全需要不同的标准体系来覆盖。所以不能认为“上了 GB 35114 就万事大吉”。

三、落地时的三个现实约束

标准读起来清楚，落地时会撞上三堵墙。这三件事最好在方案阶段就摆到桌面上，否则到施工阶段会非常被动。

约束一：B 级和 C 级要求 SVAC 码流。GB 35114 规定，B 级和 C 级要求视频编码、签名数据和加密数据的封装符合 GB/T 25724（SVAC 标准）的要求。这意味着要达到 B 级或 C 级，摄像机的视频码流必须是 SVAC 编码的——市面常见的 H.264、H.265 机型在码流层面就不满足这个条件。

这一条的影响是实质性的：支持 SVAC 的摄像机可选型号明显少于常规机型，采购成本更高，而且与现有平台的兼容性、后续接入第三方系统的能力都需要单独核实。所以项目一旦确定要做到 B 级或 C 级，摄像机的选型范围和预算就要重新评估，不能沿用原来的设备清单。相对而言，A 级不要求 SVAC 码流，门槛低得多。

约束二：平台与密钥体系要配套。这不是“换一批摄像机”就能解决的事。平台需要对接视频安全密钥管理系统，实现基于数字证书的设备身份认证、客户端身份认证，以及在视频会话过程中分发密钥。数字证书的签发、更新、吊销需要一套完整流程，并且设备和平台软件都要按 A、B、C 分级。换句话说，这是一次系统级的改造，涉及平台侧的软件能力和运维流程。

约束三：存量设备怎么办。已经装好的 H.264 / H.265 摄像机不能通过软件升级变成 SVAC 设备。常见处理方式有两种：一是在关键位置分批替换为符合要求的设备，二是通过安全接入网关这类设备做协议转换和安全加固。两种方式各有限制，涉及成本和覆盖范围，必须提前和甲方谈清楚——哪些点位要求达到哪一级，哪些点位维持现状。

四、你的项目该做到哪一级

GB 35114 是强制性标准，但它的强制性不体现在“所有项目都必须做到 C 级”。标准的定位是：系统一旦采用这部标准，就要按其规定执行；具体做到哪一级，取决于应用场景的安全需求。设备厂商提供哪个级别的产品有选择余地，用户也可以按点位类型选择不同等级的设备。

实际的判断依据大致是这样：涉密、政法、公安等重点场所，以及要害部位（一类监控点），通常要求做到最高级别；一般公共区域的监控点，可按 A 级或 B 级要求配置；普通的商用、园区内部监控，属于“可参考采用”的范围，重点可以先放在通道加密、账号权限管理、日志审计这些更基础的安全措施上。

需要特别提醒的是：各地主管部门的具体要求可能不同，有的地方有明确的落地文件，有的地方则是分阶段推进。在做方案之前，一定要先向甲方和当地主管单位确认清楚：这个项目是否要求执行 GB 35114、要求做到哪一级、有没有时间节点。

五、一份可执行的确认清单

最后给一组可以在方案阶段直接拿去核对的问题：这个项目是否要求执行 GB 35114？要求做到 A、B 还是 C 级？覆盖范围是所有点位还是部分点位？平台侧是否已具备密钥管理能力，还是需要一并建设？存量设备如何处理——替换、转换还是维持现状？证书与密钥的运维责任在谁？

这几个问题问清楚，方案的边界就定了。反过来，如果这些都没确认就开始选型，最可能出现的局面是：设备买回来了，平台不支持，或者型号选低了要重新采购。

最后一句话：GB 35114 是强制性国标，但它约束的是“确定了要做就要按它的要求做”，而不是“所有项目都要做到最高级”。先确认要求、再定级别、最后选设备，这个顺序不能颠倒。对新项目来说，确实有通过软件升级、在不太高的额外成本下获得安全收益的空间；但对已有系统来说，B 级和 C 级涉及的码流与平台改造是绕不开的。