Monitoring w rezydencji – dlaczego obraz z Twojego domu nie powinien opuszczać działki

W skrócie

Kamera to okno, które ktoś zamontował w Twoim domu i skierował do środka, więc pierwsze pytanie nie dotyczy rozdzielczości ani tego, ile widać w nocy, tylko tego, dokąd ten obraz trafia, kto ma do niego dostęp i jak długo tam leży. W najpopularniejszym dziś modelu odpowiedź brzmi tak: na serwer producenta, na warunkach opisanych w regulaminie usługi, którego nikt nie czytał. Piszę o modelu przeciwnym, w którym obraz zostaje na działce – o rejestracji lokalnej, o kamerach bez własnej drogi do internetu i o wariancie, w którym na zewnątrz wychodzi wyłącznie sygnał, że coś się dzieje. Monitoring projektuję, dobieram i dostarczam jak każde inne zabezpieczenie, a zaczynam nie od sprzętu, tylko od miejsca, tras, zasilania i pomieszczenia, które muszą znaleźć się w projekcie przed tynkami. Opisuję tu zasady, a tego, jak system wygląda w konkretnym domu, publicznie nie pokazuję – dlaczego, wyjaśniam w tekście o bezpieczeństwie rezydencji warstwami.

Dokąd trafia obraz

Rozmowa o kamerach zaczyna się zwykle od rozdzielczości i od zasięgu nocnego, a pytanie o to, dokąd obraz trafia, pada na końcu albo wcale. Moim zdaniem jest to pytanie pierwsze, ponieważ odpowiedź na nie rozstrzyga o wszystkich pozostałych.

Model domyślny na rynku wygląda tak, że kamera łączy się z serwerem producenta, a Ty oglądasz obraz w aplikacji na telefonie. Działa to dobrze, konfiguruje się w kwadrans i przez pierwsze miesiące nie ma powodu, aby o tym myśleć. Ten układ oznacza w praktyce tyle, że nagrania z wnętrza Twojego domu leżą fizycznie na serwerze firmy, której nie znasz, i pod prawem kraju, którego nie wybierałeś. Dostęp do nich masz na warunkach opisanych przez tę firmę w regulaminie, a więc na warunkach, które ona może zmienić – i tak długo, jak długo istnieje i utrzymuje tę usługę. W części systemów przez cudzy serwer przechodzi wszystko, w części tylko podgląd i powiadomienia, a samo nagranie zostaje w domu; które funkcje którędy biegną, jest pytaniem, które zadaje się sprzedawcy wprost, ponieważ z pudełka tego nie widać.

Wynika to z samej konstrukcji tej usługi. Nagranie, które leży u przechowującego, jest dostępne dla przechowującego; jest dostępne dla każdego, kto się do niego skutecznie włamie; bywa też wydawane na wniosek uprawnionych organów kierowany do przechowującego, a więc niekoniecznie do Ciebie. O tym wszystkim rozstrzyga regulamin usługi, którego nikt nie czyta, a nie ustawienia w aplikacji, które każdy klika.

Badacze bezpieczeństwa opisali przypadek producenta, który zapewniał, że nagrania nie opuszczają domu, a jego kamery wysyłały materiał na firmowe serwery także przy wyłączonej chmurze; skasowanie nagrań w aplikacji nie usuwało ich z serwerów. Wniosek z tej historii jest jeden i całkiem praktyczny: obietnica na pudełku i faktyczny ruch w sieci są dwiema różnymi rzeczami, a sprawdzić da się tylko to drugie. Dochodzi do tego rzecz, o której sprzedawcy mówią najrzadziej: stała wysyłka obrazu z kilku kamer obciąża łącze wychodzące domu przez całą dobę.

Obraz, który zostaje na działce

Model lokalny jest starszy niż chmura i prostszy, niż brzmi. W układzie, który uważam za wzorcowy, kamera dostaje jeden kabel, czyli skrętkę, która niesie zasilanie i obraz jednocześnie. Kabel kończy się w rejestratorze stojącym w Twoim pomieszczeniu technicznym, a rejestrator zapisuje nagrania na swoich dyskach. Obraz nie ma dokąd wyjechać pod jednym warunkiem, do którego zaraz wrócę: że kamery nie dostały własnej, bocznej drogi do internetu. Droga obrazu kończy się na urządzeniu, które można dotknąć.

To, co przez lata było głównym argumentem za chmurą, czyli rozpoznawanie, co właściwie widać w kadrze, dziś działa na miejscu. Odróżnienie człowieka od sarny, przekroczenie linii ogrodzenia, samochód pod bramą – to potrafi zrobić przyzwoita kamera albo rejestrator, bez pytania internetu o zdanie. Chmura ma nad tym realną przewagę w dwóch rzeczach: przy porównywaniu twarzy z wielkimi bazami i przy spinaniu wielu obiektów naraz. Do pilnowania jednego domu żadna z tych rzeczy nie jest potrzebna.

Jest jeszcze jedna decyzja, która rozstrzyga o niezależności na lata: czy system mówi otwartym standardem. Istnieją powszechnie przyjęte standardy, po których kamery i rejestratory różnych producentów dogadują się ze sobą, a kamera, która je obsługuje, będzie działać z nowym rejestratorem, kiedy stary się zestarzeje, i odwrotnie. Kamera z ekosystemu zamkniętego rozmawia wyłącznie z urządzeniami i serwerem swojego producenta; bywa, że lokalny dostęp do obrazu jest w niej celowo zablokowany, a kiedy producent zamyka usługę albo kończy wsparcie, znikają funkcje, które przez ten serwer przechodziły. Wtedy po latach wymienia się cały system, a nie jeden element.

Kamera, która dzwoni do domu

Teraz rzecz, o której wie zaskakująco mało kupujących: kamera jest komputerem. Ma procesor, system operacyjny i własne zdanie na temat tego, z kim chce rozmawiać. To, że nagrywa na Twój lokalny rejestrator, nie znaczy jeszcze, że nie prowadzi równolegle własnych rozmów z internetem – z serwerami producenta, z pośrednikami zdalnego dostępu, z serwerami aktualizacji. Rejestrator tych połączeń nie wyłącza, ponieważ nawet o nich nie wie.

Dlatego lokalność traktuję jako cechę, której się wymaga i którą się sprawdza, a nie jako obietnicę ze specyfikacji. Przy odbiorze instalacji stawiam sprawę prosto: kamery i rejestrator mają nie mieć własnej drogi do internetu, a całość ma nagrywać przy łączu odciętym na głucho. To się pokazuje na miejscu i albo działa, albo nie działa. Do tego dochodzi jedno pytanie, które trzeba zadać wprost: co ten sprzęt robi, kiedy internet znika na tydzień. Część urządzeń zaprojektowanych pod chmurę źle znosi samo odcięcie i traci funkcje, o które nikt by ich nie podejrzewał; tego również nie trzeba zakładać, ponieważ sprawdza się to przed odbiorem, a nie po włamaniu.

Wariant radykalny: styk zamiast łącza

Dla tych, którzy chcą mieć pewność co do drogi elektronicznej, istnieje układ jeszcze prostszy, a lubię go za to, że jego granicę widać gołym okiem. System nagrywa i analizuje obraz u siebie, bez żadnego połączenia z siecią, a na zewnątrz wychodzi wyłącznie styk, czyli dwa przewody, które można zewrzeć albo rozewrzeć. Są to dwa stany i nic poza nimi z domu nie wychodzi. Kiedy system uzna, że dzieje się coś istotnego, zwiera styk i tyle wie świat; system alarmowy dostaje sygnał, że coś się dzieje, i dalej pracuje według własnych procedur, bo kamera rejestruje, a reagowanie należy do alarmu.

Tą drogą nie da się przesłać obrazu, a więc nie da się go tą drogą wykraść. Nie ma w tym zasługi żadnego zabezpieczenia; to fizyka, ponieważ przez przełącznik, który zna dwa stany, nie zmieści się ani jedna klatka. Nie trzeba wierzyć ustawieniom oprogramowania ani deklaracjom producenta – wystarczy obejrzeć dwa przewody.

Bezpieczeństwa absolutnego jednak w ten sposób nie kupujesz. Kupujesz usunięcie jednej drogi, tej zdalnej, a zostaje droga fizyczna: ktoś, kto wejdzie do pomieszczenia i zabierze rejestrator albo same dyski. Dlatego druga warstwa tego wariantu dotyczy nośników. Hasło do rejestratora chroni jego menu, natomiast z dysku wyjętego z urządzenia da się na innym komputerze odzyskać nagrania, o ile zapis nie jest szyfrowany. Szyfrowanie nagrań jest funkcją, o którą pyta się wprost przy zakupie, po to, aby kradzież rejestratora znaczyła utratę sprzętu, a nie wyciek prywatnych nagrań. Ma ono swoją cenę: najmocniejsze warianty potrafią wymagać człowieka przy każdym uruchomieniu, ponieważ po zaniku zasilania system sam nie wstanie. Rozstrzyga się to przy wyborze sprzętu.

Cena tego wyboru

Nie zobaczysz podglądu z lotniska, przynajmniej nie w wariancie odciętym od sieci, i w tym zdaniu mieszka cała niewygoda tego modelu. Sprawdzenie, co działo się w nocy, oznacza podejście do urządzenia. Dla części osób jest to za dużo i rozumiem to bez ironii, ponieważ wygoda podglądu jest realna, a niepokój na dłuższym wyjeździe też.

Wybór drogi nie zamyka przy tym tematu bezpieczeństwa, bo zaatakować da się każdą z nich, tylko w inny sposób. Mogę pokazać, co się w tej wymianie oddaje, ale decyzja należy do Ciebie.

Da się to zresztą ułożyć pośrodku, świadomie. Kilka kamer w wygodnym ekosystemie z aplikacją kierujesz tam, gdzie obraz i tak jest półpubliczny, czyli na podjazd, furtkę i bramę, i traktujesz je tak, jakby ich obraz był jawny, ponieważ w praktyce jest. Kadr tych kamer nadal trzyma się Twojej działki, bo granice z sekcji niżej obowiązują je dokładnie tak samo. Reszta domu zostaje odseparowana, a wnętrza wyłącznie lokalnie albo wcale. Jest to decyzja, nie kompromis techniczny: wybierasz, ile wygody kupujesz za ile prywatności, i wiesz, co oddajesz.

Kto ma dostęp do nagrań

W domu, w którym pracują ludzie – sprzątanie, opieka, ogród, serwis – archiwum nagrań staje się zbiorem informacji o wszystkich, którzy w nim bywają. System, w którym każdy zna ten sam kod, a podgląd archiwum nie zostawia śladu, nie jest systemem, tylko pudełkiem z nagraniami.

Zasada, którą opisałem przy alarmie, obowiązuje tu tak samo: każdy dostaje dostęp do tego, czego potrzebuje do swojej pracy. W monitoringu znaczy to osobne konta zamiast wspólnego kodu, różne uprawnienia dla różnych ról oraz ślad tego, kto przeglądał archiwum; podgląd na żywo i archiwum należy traktować jako dwa różne uprawnienia. Serwisant potrzebuje dostępu do ustawień, a nie do Twoich nagrań z zeszłego tygodnia.

Codzienne rzeczy w systemie powinieneś umieć zrobić sam, a przy monitoringu ma to szczególne znaczenie, bo chodzi o dostęp do nagrań z domu. Jeżeli po roku nie umiesz sam dodać komuś konta ani sprawdzić, kto oglądał archiwum, to system pracuje dla instalatora, nie dla Ciebie.

Zostaje pytanie, które zadaje się przed odbiorem instalacji, a nie po nim: co zostaje po wyjściu serwisanta. Po przekazaniu domu dostęp do nagrań i ustawień masz tylko Ty, dopóki sam komuś go nie dasz. Zdalny dostęp na wszelki wypadek, zostawiony po uruchomieniu, jest tylnymi drzwiami do systemu, nawet jeżeli nikt nie miał złych intencji, a najczęściej nikt nie miał. Dobre firmy mówią o tym same, a pozostałych trzeba o to zapytać.

Gdzie kończy się Twoja prywatna sprawa

Tu zwalniam, ponieważ teren przestaje być techniczny. Dopóki kamery obejmują wyłącznie Twój dom i Twoją działkę, a bywają w nim tylko domownicy, monitoring jest co do zasady sprawą prywatną. Ten stan da się utracić i zwykle traci się go, nie wiedząc o tym.

Pierwsza granica to kadr. Kamera, która łapie ulicę albo ogród sąsiada, wychodzi poza Twoją prywatną sprawę, a rozstrzyga o tym nie intencja, tylko to, co widać w kadrze. Druga granica to ludzie, którzy w Twoim domu pracują. Z chwilą, gdy dom staje się czyimś miejscem pracy, pojawiają się zasady: czemu monitoring ma służyć, których pomieszczeń nie wolno nim obejmować, jak długo wolno przechowywać nagrania i o czym trzeba ludzi uprzedzić, zanim system ruszy. Trzecia to dźwięk, bo nagrywanie rozmów jest inną kategorią niż nagrywanie obrazu i poprzeczka wisi znacznie wyżej; w praktyce mikrofony zostawia się wyłączone, dopóki nie ma dobrego powodu, aby było inaczej.

Najważniejsze, jeśli mówimy o zabezpieczeniach, jest to, żeby były skuteczne i zrobione tak, jak należy, dla mojego inwestora. Nie nagrywamy sąsiadów i nie łamiemy przepisów. Praktyczna uwaga jest jedna: rozmieszczenie kamer omawia się wtedy, kiedy jest jeszcze na papierze, ponieważ przesunięcie kamery na rysunku kosztuje tyle co kreska.

Gdzie to fizycznie stoi

Nagrania muszą gdzieś leżeć, a w modelu lokalnym leżą na dyskach w Twoim domu, na konkretnym urządzeniu. Jedna kamera nagrywająca bez przerwy produkuje, zależnie od jakości obrazu, od kilku do kilkudziesięciu gigabajtów dziennie, a kilka kamer przez miesiąc daje pojedyncze terabajty. Rejestrator pracuje całą dobę przez okrągły rok, dyski do takiej pracy są inne niż te w laptopie i zużywają się jak każda część robocza, więc trzeba będzie je kiedyś wymienić. Urządzenie grzeje się, szumi i chce mieć czym oddychać, przez co ciasna, zamknięta szafka bez przepływu powietrza skraca dyskom życie szybciej, niż ktokolwiek zakłada. A kiedy miejsce się kończy, rejestrator nadpisuje najstarsze nagrania, więc za mały dysk znaczy tyle, że materiał z dnia, który akurat ma znaczenie, może już nie istnieć.

Dlatego rejestrator ma swoje miejsce w projekcie: pomieszczenie techniczne, zasilanie z podtrzymaniem, wentylacja i zamknięte drzwi. Kto ma klucz do tego pomieszczenia, jest częścią systemu, ponieważ fizyczny dostęp do urządzenia, na którym wszystko leży, jest najsłabszym punktem całej architektury lokalnej. Z tego samego powodu monitoring traktuję jako jedną z warstw zabezpieczenia domu, a nie jako osobny gadżet.

Kiedy o tym decydować

Wszystko, o czym piszę wyżej, zapada przed tynkami, razem z instalacją elektryczną, i jest to jedyny moment, w którym te decyzje są tanie. W przypadku kamer zdecydowanie warto przygotować okablowanie – o ile w ogóle bierzesz pod uwagę ich instalację. Kable prowadzi się razem z elektryką, tras kładzie się więcej, niż wynika z pierwszej listy kamer, a w pomieszczeniu technicznym zostawia się rezerwę.

Punkty kamer zewnętrznych ustala się jeszcze wcześniej, niż większość osób zakłada, ponieważ trasy biegną w ścianie, którą zaraz zamkną ocieplenie i elewacja. Jeśli rozmieszczenie kamer i oświetlenia na elewacji nie zostało doprecyzowane na etapie instalacji elektrycznej, to teraz jest ostatni moment, aby to zrobić. Ta sama decyzja wraca przy podbitce i ogrodzeniu, bo tamtędy też idą trasy.

Zostają jeszcze przepięcia: urządzenia teletechniczne, czyli kable internetowe, kable telewizyjne, kable z kamer, również powinny być zabezpieczane przeciwprzepięciowo. Prawie nikt tego nie robi i nie mnie oceniać, czy to dobrze, czy nie. Kabel z kamery stojącej na słupku przy ogrodzeniu wchodzi do Twojego domu i kończy się na urządzeniu, na którym leżą nagrania, więc rozmowa z elektrykiem na ten temat należy do tego samego etapu co same trasy.

Na koniec dokumentacja, ponieważ ona rozstrzyga, czy za rok ktokolwiek będzie wiedział, którędy to wszystko biegnie. Trasy fotografuje się, zanim znikną w ścianie, bo kiedy po latach kontakt z elektrykiem prowadzącym instalację się urwie, jedynym śladem po nich zostają zdjęcia.

Kiedy monitoring jest teatrem – i czego nie obiecuję

Kamera niczego nie powstrzymuje, tylko rejestruje. Jeżeli zależy Ci na powstrzymaniu, rozmawiamy o innych warstwach, a na końcu tej drabiny stoi panic room, o którym pisałem osobno. Monitoring odpowiada na pytanie, co się stało i kto to był, a jest to dużo, o ile nie mylisz tego z niedopuszczeniem do zdarzenia.

Bywa też monitoring, który jest czystym teatrem: kamery kupione, ponieważ wypada je mieć, powieszone tam, gdzie najłatwiej było dociągnąć kabel, z nagraniami, których nikt nigdy nie obejrzał i nie obejrzy. Pytanie o to, przed czym się bronimy, działa też tutaj, a czasem odpowiedź brzmi, że przed niczym, po prostu wypadało.

Jest też granica, o której mówi się najrzadziej, ponieważ nie jest techniczna. Domu pod stałą obserwacją nie da się odwidzieć. Kamera w salonie skierowana na kanapę zmienia sposób, w jaki się na tej kanapie siedzi, u dorosłych i u dzieci, a jest to koszt płacony przez rodzinę, nie przelewem. Wnętrza obejmuje się monitoringiem z umiarem albo wcale, ponieważ dom ma zostać domem.

Nie zaczynam więc od liczby kamer. Zaczynam od pytania, co naprawdę chcesz widzieć: bramę, podejście do domu, wnętrza, czy po prostu mieć nagranie, gdyby coś się stało.

Zostaje jeszcze lista rzeczy, których nie obiecuję. Nie obiecuję, że system lokalny zatrzyma kogoś, kto przyszedł z zamiarem, ponieważ od zatrzymywania są inne warstwy, ani że odcięcie od sieci załatwia sprawę bezpieczeństwa, bo usuwa wyłącznie drogę zdalną. I ostatnia rzecz, która dotyczy już nie Twojego domu, tylko mojej pracy: o klientach nie opowiadam i publicznie nie pokazuję niczego – zdjęć, lokalizacji ani nazwisk – a dokładnie tak samo chroniony będzie Twój dom.

O co pytam, zanim taki system wejdzie do projektu

Dokąd trafia obraz z kamer i czy da się pokazać, że nigdzie dalej?
Czy nagrywanie i analiza obrazu działają przy internecie odciętym na głucho i czy zobaczę to na odbiorze?
Czy kamery mówią otwartym standardem, a jeśli tak, to co dokładnie po nim działa, a co wyłącznie w aplikacji producenta?
Co dokładnie wychodzi z systemu na zewnątrz: obraz, zdarzenia czy sam styk?
Kto ma jakie konto, kto widzi archiwum i gdzie zostaje ślad, że ktoś je przeglądał?
Co zostaje po wyjściu serwisanta i kto o tym wie?
Czy nagrania na dyskach są zaszyfrowane i co dzieje się z systemem po zaniku zasilania?
Gdzie stoi rejestrator, kto ma klucz do tego pomieszczenia i kiedy planujemy wymianę dysków?
Którędy biegną trasy na zewnątrz i czy punkty kamer są uzgodnione, zanim zamknie się elewacja i ogrodzenie?

Najczęstsze pytania

Czy monitoring bez chmury da się oglądać na telefonie?

W domu tak, po domowej sieci, bez udziału jakiegokolwiek serwera na zewnątrz. Poza domem również się da, tylko każdy zdalny podgląd otwiera jakąś drogę do systemu, a różnica polega na tym, czy tę drogę zbudowano świadomie i kto ją kontroluje. Jeżeli podgląd z wyjazdu jest dla Ciebie ważny, powiedz o tym na początku, ponieważ droga zaprojektowana i opisana w dokumentacji to co innego niż fabryczna droga przez serwer producenta, o której nikt Ci nie powiedział.

Jakie kamery bez chmury wybrać i czego wymagać?

Marek nie polecam, natomiast wymagania są cztery i wszystkie da się sprawdzić. Rejestracja ma być lokalna, na urządzeniu w Twoim domu. Kamery i rejestrator nie mają mieć własnej drogi do internetu. System ma mówić otwartym standardem, aby dało się wymienić element, a nie całość. I ostatnie: nagrywanie przy odciętym łączu ma zostać pokazane na odbiorze, a nie obiecane w ofercie.

Czy kamery można dołożyć po budowie?

Można i robi się to często, tylko widać wtedy, że ktoś się spóźnił: listwy, kucie albo kompromis w miejscu, do którego kabla już nie dało się doprowadzić. Kamery potrzebują kabli bardziej niż alarm, który bywa bezprzewodowy. Najtaniej wychodzi, gdy kable idą razem z instalacją elektryczną, nawet jeżeli decyzja o kamerach zapadnie dwa lata później. Najtrudniej dołożyć po fakcie pomieszczenie, w którym to wszystko ma stanąć.

Ile kosztuje monitoring bez chmury?

Cena nie bierze się z liczby kamer, tylko z tego, co za nimi stoi: z tras kablowych, z pomieszczenia technicznego, z dysków i ich wymiany co kilka lat, z ewentualnego szyfrowania oraz z tego, jak daleko ma sięgać odcięcie od sieci. Model chmurowy przenosi część kosztu w abonament, a więc mniej na starcie, opłata co miesiąc przez lata i warunki ustalane przez usługodawcę. Model lokalny działa odwrotnie: więcej na starcie, potem głównie prąd i dyski. Rozmowa o konkretach zaczyna się po decyzji, który model w ogóle wchodzi w grę.

Odpowiedzi na częste pytania o prywatność i dyskrecję zebrałem w sekcji Pytania.

Jeżeli myślisz o domu, w którym prywatność jest częścią projektu, ta rozmowa powinna się odbyć przed projektem instalacji. Porozmawiajmy o Twoim projekcie.