W skrócie
Kamera to okno, które ktoś zamontował w Twoim domu i skierował do środka. Pytanie nie brzmi „czy nagrywa”, tylko: gdzie ten obraz trafia, kto ma do niego dostęp i jak długo tam leży. W najpopularniejszym dziś modelu odpowiedź brzmi: na serwer producenta, nie wiadomo kto i nie wiadomo jak długo. Piszę o modelu, w którym obraz zostaje na działce – o rejestracji lokalnej, o kamerach bez własnej drogi do internetu i o wariancie radykalnym, w którym na zewnątrz wychodzi wyłącznie sygnał „coś się dzieje”. Zastrzeżenie od razu: telewizji dozorowej nie projektuję. Jako wykonawca odpowiadam za to, żeby w projekcie było dla niej miejsce: trasy, zasilanie, pomieszczenie – i żeby te decyzje zapadły przed tynkami.
Dokąd trafia obraz
Rozmowa o kamerach zaczyna się zwykle od rozdzielczości i od tego, ile widać w nocy. Z rozmów z klientami wiem, że pytanie o to, dokąd obraz trafia, pada jako ostatnie albo wcale. A to jest pytanie pierwsze.
Model domyślny na rynku wygląda tak: kamera łączy się z serwerem producenta, a Ty oglądasz obraz w aplikacji na telefonie. Działa to dobrze, konfiguruje się w kwadrans i przez pierwsze miesiące nie ma powodu, żeby o tym myśleć. Trzeba tylko powiedzieć na głos, co ten układ oznacza: nagrania z wnętrza Twojego domu fizycznie leżą na serwerze firmy, której nie znasz, pod prawem kraju, którego nie wybierałeś. Masz do nich dostęp na warunkach zapisanych w regulaminie usługi. I tak długo, jak długo ta firma istnieje i utrzymuje tę usługę. W części systemów przez cudzy serwer przechodzi wszystko, w części tylko podgląd i powiadomienia, a samo nagranie zostaje w domu – które funkcje którędy biegną, to pytanie, które zadaje się sprzedawcy wprost, bo z pudełka tego nie widać.
W tym nie ma żadnej teorii spiskowej. Tak ta usługa jest po prostu zbudowana. Nagranie, które leży u przechowującego, jest dostępne dla przechowującego. Jest dostępne dla każdego, kto się do niego skutecznie włamie. Bywa też wydawane na wniosek uprawnionych organów kierowany do przechowującego – niekoniecznie do Ciebie. O tym wszystkim rozstrzyga regulamin usługi, którego nikt nie czyta, a nie ustawienia w aplikacji, które każdy klika.
Badacze bezpieczeństwa udokumentowali przypadek producenta, który reklamował, że nagrania „nie opuszczają domu” – a jego kamery wysyłały materiał na firmowe serwery także przy wyłączonej chmurze. Skasowanie nagrań w aplikacji nie usuwało ich z serwerów. Nie przywołuję tego, żeby straszyć. Przywołuję, bo z tej historii wynika jedyny praktyczny wniosek, jaki znam: obietnica na pudełku i faktyczny ruch w sieci to dwie różne rzeczy, a sprawdzić da się tylko to drugie.
Obraz, który zostaje na działce
Model lokalny jest starszy niż chmura i prostszy, niż brzmi. W układzie, który uważam za wzorcowy, kamera dostaje jeden kabel – skrętkę, która niesie zasilanie i obraz jednocześnie. Kabel kończy się w rejestratorze, który stoi w Twoim pomieszczeniu technicznym i zapisuje nagrania na swoich dyskach. Obraz nie ma dokąd wyjechać – pod jednym warunkiem, do którego zaraz wrócę: że kamery nie dostały własnej, bocznej drogi do internetu. Droga z projektu kończy się na urządzeniu, które można dotknąć.
To, co przez lata było głównym argumentem za chmurą, czyli rozpoznawanie, co właściwie widać w kadrze, dziś działa na miejscu. Odróżnienie człowieka od sarny, przekroczenie linii ogrodzenia, samochód pod bramą: to potrafi dziś zrobić przyzwoita kamera albo rejestrator, bez pytania internetu o zdanie. Uczciwie dopowiem, do czego chmura nadal ma realną przewagę: porównywanie twarzy z wielkimi bazami i spinanie wielu obiektów naraz. Do pilnowania jednego domu żadna z tych rzeczy nie jest potrzebna.
Jest jeszcze jedna decyzja, która rozstrzyga o niezależności na lata: czy system mówi otwartym standardem. Istnieją powszechnie przyjęte standardy, po których kamery i rejestratory różnych producentów dogadują się ze sobą. Kamera, która je obsługuje, będzie działać z nowym rejestratorem, kiedy stary się zestarzeje – i odwrotnie. Kamera z ekosystemu zamkniętego rozmawia wyłącznie z urządzeniami i serwerem swojego producenta; bywa, że lokalny dostęp do obrazu jest w niej celowo zablokowany. W pierwszym układzie po latach wymieniasz element. W drugim wymieniasz system.
Kamera, która dzwoni do domu
Teraz rzecz, o której wie zaskakująco mało kupujących: kamera to komputer. Ma procesor, system operacyjny i własne zdanie o tym, z kim chce rozmawiać. To, że nagrywa na Twój lokalny rejestrator, nie znaczy, że nie prowadzi równolegle własnych rozmów z internetem – z serwerami producenta, z pośrednikami zdalnego dostępu, z serwerami aktualizacji. Rejestrator tych połączeń nie wyłącza. On o nich nawet nie wie.
Dlatego lokalność traktuję jako cechę, której się wymaga i którą się sprawdza. W odbiorze instalacji stawiam sprawę prosto: kamery i rejestrator mają nie mieć własnej drogi do internetu, a całość ma nagrywać przy łączu odciętym na głucho. To się pokazuje na odbiorze – działa albo nie działa. Do tego jedno pytanie, które warto zadać integratorowi wprost: co ten sprzęt robi, kiedy internet znika na tydzień. Część urządzeń zaprojektowanych pod chmurę źle znosi samo odcięcie: tracą funkcje, o które nikt by ich nie podejrzewał. Tego również nie trzeba zakładać. To się sprawdza przed odbiorem, nie po włamaniu.
Wariant radykalny: styk zamiast łącza
Dla tych, którzy chcą mieć pewność co do drogi elektronicznej, istnieje układ jeszcze prostszy – i lubię go za to, że jego granicę widać gołym okiem. System nagrywa i analizuje obraz u siebie, bez żadnego połączenia z siecią. Na zewnątrz wychodzi wyłącznie styk: dwa przewody, które można zewrzeć albo rozewrzeć. Dwa stany, nic więcej. Kiedy system uzna, że dzieje się coś istotnego, zwiera styk – i tyle wie świat. System alarmowy dostaje sygnał „coś się dzieje” i dalej pracuje według własnych procedur.
Tą drogą nie da się przesłać obrazu – więc nie da się go tą drogą wykraść. Nie ma w tym zasługi żadnego zabezpieczenia. To fizyka: przez przełącznik, który zna dwa stany, nie zmieści się ani jedna klatka. Nie trzeba wierzyć ustawieniom oprogramowania ani deklaracjom producenta. Wystarczy obejrzeć dwa przewody. (Elektryk potwierdzi to szybciej, niż informatyk zdąży otworzyć laptopa.)
I tu uczciwość wymaga dokończenia zdania: bezpieczeństwa absolutnego tu nie ma. Jest usunięcie jednej drogi – zdalnej. Zostaje droga fizyczna: ktoś, kto wejdzie do pomieszczenia i zabierze rejestrator albo same dyski. Dlatego druga warstwa tego wariantu dotyczy nośników. Hasło do rejestratora chroni jego menu. Z dysku wyjętego z urządzenia da się na innym komputerze odzyskać nagrania, jeśli zapis nie jest szyfrowany. Szyfrowanie nagrań to funkcja, o którą pyta się wprost przy zakupie. Po to, żeby kradzież rejestratora znaczyła utratę sprzętu, a nie wyciek prywatnych nagrań. Ma swoją cenę, też ją powiem: najmocniejsze warianty potrafią wymagać człowieka przy każdym uruchomieniu, bo po zaniku zasilania system sam nie wstanie. Rozstrzyga się to z instalatorem przy wyborze sprzętu.
Cena tego wyboru
Nie zobaczysz podglądu z lotniska – przynajmniej nie w wariancie odciętym od sieci. To zdanie trzeba wypowiedzieć wprost, bo w nim mieszka cała niewygoda tego modelu. Sprawdzenie, co działo się w nocy, oznacza podejście do urządzenia. Dla części osób to jest za dużo – i rozumiem to bez ironii, bo wygoda podglądu jest realna, a niepokój na dłuższym wyjeździe też.
Na to mam odpowiedź, której nauczyły mnie rozmowy z klientami: układ świadomie mieszany. Kilka kamer w wygodnym ekosystemie z aplikacją, skierowanych tam, gdzie obraz i tak jest półpubliczny (podjazd, furtka, brama), traktowanych tak, jakby ich obraz był jawny, bo w praktyce jest. Kadr tych kamer nadal trzyma się Twojej działki – granice z sekcji o prawie obowiązują je tak samo. I reszta domu odseparowana: wnętrza wyłącznie lokalnie albo wcale. To decyzja, nie kompromis techniczny: wybierasz, ile wygody kupujesz za ile prywatności, i wiesz, co oddajesz. Moim zadaniem jest pokazać, co się oddaje. Wybór należy do Ciebie.
Kto ogląda nagrania
W domu, w którym pracują ludzie (sprzątanie, opieka, ogród, serwis), archiwum nagrań jest zbiorem informacji o wszystkich, którzy w nim bywają. System, w którym każdy zna ten sam kod, a podgląd archiwum nie zostawia śladu, nie jest systemem.
Zasada jest ta sama, którą opisałem przy systemie alarmowym: każdy dostaje dostęp do tego, czego potrzebuje do swojej pracy. W monitoringu znaczy to osobne konta zamiast wspólnego kodu, różne uprawnienia dla różnych ról i ślad tego, kto przeglądał archiwum. Podgląd na żywo i archiwum to dwa różne uprawnienia. Kod serwisowy nie jest kodem właściciela, a serwisant potrzebuje dostępu do ustawień, nie do Twoich nagrań z tygodnia.
I pytanie, które zadaje się przed odbiorem instalacji, a nie po: co zostaje po wyjściu serwisanta. Zdalny dostęp „na wszelki wypadek”, zostawiony po uruchomieniu, jest tylnymi drzwiami do systemu – nawet jeśli nikt nie miał złych intencji, a najczęściej nikt nie miał. Dobre firmy mówią o tym same. Pozostałe trzeba zapytać.
Prawo: kiedy kamera przestaje być prywatną sprawą
Tu zwalniam, bo teren przestaje być techniczny. Dopóki kamery obejmują wyłącznie Twój dom i Twoją działkę, a bywają w nim tylko domownicy, monitoring jest co do zasady sprawą prywatną. Ten stan łatwo utracić. I zwykle traci się go, nie wiedząc o tym.
Pierwsza granica: ludzie, którzy w Twoim domu pracują. Z chwilą, gdy dom staje się czyimś miejscem pracy, nagrywanie przestaje być wyłącznie kwestią techniki. Są zasady: czemu monitoring ma służyć, których pomieszczeń nie wolno nim obejmować, jak długo wolno przechowywać nagrania i o czym trzeba ludzi uprzedzić, zanim system ruszy. Etat, zlecenie czy firma zewnętrzna: zakres obowiązków bywa różny i właśnie o niego pyta się prawnika. Druga granica: kadr. Kamera, która łapie ulicę albo ogród sąsiada, wychodzi poza Twoją prywatną sprawę; takie sprawy trafiały już przed sądy. Trzecia: dźwięk. Nagrywanie rozmów to inna kategoria niż nagrywanie obrazu i poprzeczka wisi znacznie wyżej; w praktyce mikrofony zostawia się wyłączone, dopóki prawnik nie powie inaczej.
Nie napiszę Ci, jak to poukładać, z prostego powodu: nie jestem prawnikiem i nie zamierzam udawać, że jestem. Piszę po to, żebyś wiedział, że te granice istnieją i że rozmowa z prawnikiem powinna się odbyć, zanim kamera zawiśnie – najlepiej wtedy, kiedy rozmieszczenie jest jeszcze na papierze. Przesunięcie kamery na papierze kosztuje tyle co kreska.
Gdzie to fizycznie stoi
Nagrania muszą gdzieś leżeć. W modelu lokalnym leżą na dyskach w Twoim domu, na konkretnym urządzeniu. Jedna kamera nagrywająca bez przerwy produkuje, zależnie od jakości obrazu, od kilku do kilkudziesięciu gigabajtów dziennie; kilka kamer przez miesiąc to pojedyncze terabajty. Rejestrator pracuje całą dobę przez okrągły rok. Dyski do takiej pracy są inne niż te w laptopie i zużywają się jak każda część robocza – trzeba będzie je kiedyś wymienić. Urządzenie grzeje się, szumi i chce mieć czym oddychać; ciasna, zamknięta szafka bez przepływu powietrza skraca dyskom życie szybciej, niż ktokolwiek zakłada. A kiedy miejsce się kończy, rejestrator nadpisuje najstarsze nagrania. Za mały dysk znaczy tyle, że materiał z dnia, który akurat ma znaczenie, może już nie istnieć.
Dlatego rejestrator ma swoje miejsce w projekcie: pomieszczenie techniczne, zasilanie z podtrzymaniem, wentylacja i zamknięte drzwi. Kto ma klucz do tego pomieszczenia, jest częścią systemu – fizyczny dostęp do urządzenia, na którym wszystko leży, to najsłabszy punkt całej architektury lokalnej. I rada, którą przy zwykłych domach powtarzam od lat: kiedy elektryk rozprowadza instalację, poproś o dołożenie kabli pod kamery do miejsca, w którym mógłby stanąć rejestrator. Kamery – w odróżnieniu od alarmu, który bywa bezprzewodowy – naprawdę warto prowadzić po kablu. Nawet jeśli ostatecznie nic nie zamontujesz, kable schowają się pod tynkiem i poczekają. Przy rezydencji ta rada przestaje wystarczać: dochodzi pomieszczenie, zasilanie, chłodzenie i dyski, czyli rzeczy, które muszą znaleźć się w projekcie. To wszystko zapada przed tynkami, razem z instalacją elektryczną. A dla kamer zewnętrznych ta sama decyzja wraca jeszcze raz przy elewacji, podbitce i ogrodzeniu – tamtędy też biegną trasy.
Kiedy monitoring jest teatrem – i czego nie obiecuję
Kamera niczego nie powstrzymuje. Rejestruje. Jeśli zależy Ci na powstrzymaniu, rozmawiamy o systemie alarmowym – kamera rejestruje, alarm reaguje, i to są dwa różne pytania – a na końcu tej drabiny stoi pomieszczenie ochronne, o którym pisałem osobno. Monitoring odpowiada na pytanie, co się stało i kto to był. To dużo. Ale nie myl tego z niedopuszczeniem do zdarzenia.
Bywa też monitoring, który jest czystym teatrem: kamery kupione, bo wypada je mieć, wiszące tam, gdzie najłatwiej było dociągnąć kabel, z nagraniami, których nikt nigdy nie obejrzał i nie obejrzy. Częściej niż dokładanie kamer proponuję klientom ich odejmowanie. Pytanie „przed czym się bronimy” działa też tutaj. Czasem odpowiedź brzmi: przed niczym, po prostu wypadało.
I granica, o której mówi się najrzadziej, bo nie jest techniczna: domu pod stałą obserwacją nie da się odwidzieć. Kamera w salonie skierowana na kanapę zmienia sposób, w jaki się na tej kanapie siedzi – u dorosłych i u dzieci. To też jest koszt, tylko płacony przez rodzinę, nie przelewem. Wnętrza obejmuje się monitoringiem oszczędnie albo wcale, bo dom ma zostać domem.
Nie zaczynam od liczby kamer. Zaczynam od pytania, co naprawdę chcesz widzieć: bramę, podejście do domu, wnętrza – czy po prostu mieć nagranie, gdyby coś się stało. Reszta zależy od preferencji i od okolicy. Nie każdy dom potrzebuje tego samego i to jest w porządku.
Czego nie obiecuję: że system lokalny zatrzyma kogoś, kto przyszedł z zamiarem, bo od zatrzymywania są inne warstwy; że odcięcie od sieci załatwia sprawę bezpieczeństwa, bo usuwa tylko drogę zdalną; i że powiem komukolwiek, publicznie czy prywatnie, jak rozwiązania tego typu wyglądają u konkretnych klientów.
O co pytam, zanim powiem „tak”
- Dokąd trafia obraz z kamer i czy da się pokazać, że nigdzie dalej?
- Czy nagrywanie i analiza obrazu działają przy internecie odciętym na głucho – i czy zobaczę to na odbiorze?
- Czy kamery mówią otwartym standardem – i co dokładnie po nim działa, a co wyłącznie w aplikacji producenta?
- Co dokładnie wychodzi z systemu na zewnątrz: obraz, zdarzenia czy sam styk?
- Kto ma jakie konto, kto widzi archiwum i gdzie zostaje ślad, że ktoś je przeglądał?
- Co zostaje po wyjściu serwisanta i kto o tym wie?
- Czy nagrania na dyskach są zaszyfrowane i co się dzieje z systemem po zaniku zasilania?
- Gdzie stoi rejestrator, kto ma klucz do tego pomieszczenia i kiedy planujemy wymianę dysków?
- Którędy biegną trasy na zewnątrz i czy punkty kamer są uzgodnione, zanim zamknie się elewacja i ogrodzenie?
Najczęstsze pytania
Czy monitoring bez chmury da się oglądać na telefonie?
W domu tak – po domowej sieci, bez udziału żadnego serwera na zewnątrz. Poza domem też się da, ale uczciwa odpowiedź brzmi: każdy zdalny podgląd otwiera jakąś drogę do systemu, a różnica polega na tym, czy tę drogę zbudowano świadomie i kto ją kontroluje. Jeśli podgląd z wyjazdu jest dla Ciebie ważny, powiedz to integratorowi na początku – droga zaprojektowana i opisana w dokumentacji to co innego niż fabryczna droga przez serwer producenta, o której nikt Ci nie powiedział.
Czy kamery można dołożyć po budowie?
Można i robi się to często, tylko wtedy widać, że ktoś się spóźnił: listwy, kucie albo kompromis w miejscu, do którego kabla już nie dało się doprowadzić. Kamery potrzebują kabli bardziej niż alarm, który bywa bezprzewodowy. Najtaniej jest poprosić elektryka o kable przy rozprowadzaniu instalacji, nawet jeśli decyzja o kamerach zapadnie dwa lata później. Najtrudniej po fakcie dołożyć pomieszczenie, w którym to wszystko ma stanąć.
Czy mogę nagrywać osoby, które pracują w moim domu?
To pytanie do prawnika, nie do wykonawcy, i mówię to bez uniku. Z chwilą, gdy dom jest czyimś miejscem pracy, obowiązują zasady dotyczące celów nagrywania, miejsc, których nie wolno obejmować, czasu przechowywania i uprzedzenia ludzi z wyprzedzeniem. Da się to poukładać uczciwie i zgodnie z przepisami, ale nie na oko. Najlepiej konsultować rozmieszczenie kamer, kiedy jest jeszcze na papierze.
Ile kosztuje monitoring bez chmury?
Nie wyceniam go od sztuki kamery, bo cena bierze się z czego innego: z liczby tras kablowych, z pomieszczenia technicznego, z dysków i ich wymiany co kilka lat, z ewentualnego szyfrowania i z tego, jak daleko ma sięgać odcięcie od sieci. Model chmurowy przenosi część kosztu w abonament: mniej na starcie, opłata co miesiąc przez lata i warunki, które ustala usługodawca. Model lokalny odwrotnie – więcej na starcie, potem głównie prąd i dyski. Rozmowa o konkretach zaczyna się po decyzji, który model w ogóle wchodzi w grę.
Treści mają charakter edukacyjny i zatrzymują się na poziomie decyzji i wymagań; wykonanie zostaje poza tekstem. Zasady nagrywania osób i przestrzeni wymagają oceny prawnej w konkretnej sytuacji. Odpowiedzi na częste pytania o prywatność i dyskrecję zebrałem w sekcji Pytania.
Jeśli myślisz o domu, w którym prywatność jest częścią projektu, ta rozmowa powinna się odbyć przed projektem instalacji. Porozmawiajmy o Twoim projekcie.