简介：面向公安视频图像信息系统的设计、制造、检验与安全测评人员，提供GA/T 1788.2—2021《公安视频图像信息系统安全技术要求 第2部分：前端设备》的规范正文，可用于理解前端设备分类分级、安全能力等级及合规核对要点。压缩包内共1个PDF文件，约278KB，单文件结构便于检索条款、引用条文和随查随用。标准按传输方式区分有线与无线前端设备，按应用场景划分采集类、接入类、交互类，按安全能力分为通用型、增强型Ⅰ、增强型Ⅱ，并围绕物理安全、身份鉴别、访问控制、入侵防范、数据安全、证书和密钥管理、日志安全、无线交互类设备管控等提出要求，附有设备类别与安全要求对应表。已有110人学习，适合方案编制、产品设计、检测认证和项目验收时作为案头参考。
1. 一份 2021 年底就生效的行业标准，为什么现在被反复翻出来看
GA/T 1788.2—2021《公安视频图像信息系统安全技术要求 第 2 部分：前端设备》在 2021 年 7 月 20 日发布、同年 12 月 1 日实施，是 GA/T 1788 四个部分里唯一直接管到摄像机、编码器、无线图传这一层的文件，配套的是第 1 部分通用要求、第 3 部分安全交互、第 4 部分安全管理平台。它不算新，但最近被翻出来的频率明显变高：一批项目在做前端设备替换，采购文件里开始出现“通用型 / 增强型Ⅰ / 增强型Ⅱ”这样的字样，而不少做集成的团队手里只有一份目录，没读过表 1。
真正值得关注的不是标准文本本身，而是它把“前端”从一个硬件名词，变成了一个需要出具安全能力证明的对象。以前前端设备的选型只看清晰度、码率、夜视效果和点位密度，现在多了一条横轴：这台设备在哪一档、要满足哪些条款、由谁出证明。这条横轴一加进来，采购清单、报价结构、检测流程全都要跟着调整。
2. 分类与分级：一台前端设备到底该按哪一档做
拿到这份标准的人，第一反应通常是直接翻到第 5 章看技术要求，然后被表 1 那一大片实心圆点和横杠劝退。顺序其实反了。表 1 不是让你从条款倒推设备，而是让你先把设备放进一个坐标系里——横轴是它怎么连、干什么用，纵轴是它能扛住多少攻击。坐标定错了，后面每一条都对不上，返工是从第一步开始的。
2.1 两类传输、五类场景、三级安全能力
按第 4 章的规定，前端设备先按传输方式分成两半：有线前端设备和无线前端设备。判断依据不是“有没有天线”，而是“是否基于无线通信技术完成接入、传输及使用”。这句话把无线图传、移动布控终端、无线网桥都圈了进去，也把一些带 Wi-Fi 调试口但主干走网线的设备留在了有线那一侧。
有线这一半再按应用场景分采集类和接入类；无线这一半多一类，采集类、接入类、交互类。采集类是把光信号变成图像数据的那一端，摄像机、抓拍单元、热成像都属于这一类；接入类是把多路采集侧汇聚起来再往上送的设备，编码器、接入网关、光端机在这里；交互类是无线侧特有的，指能和人或者业务系统双向交互的终端。
第三个数是安全能力等级，分通用型、增强型Ⅰ、增强型Ⅱ。这一维跟硬件性能没关系，说的是设备在密码模块、数字证书、数据保护、可管控性上能做到什么程度。4.3 还有一句容易被跳过的补充：增强型无线前端设备可以通过纵向安全防护系统接入公安视频图像信息系统。这句话等于给无线侧留了一条合规路径，同时也意味着这条路径上的设备必须达到增强型。
| 维度 | 取值 | 判断口径 |
|---|---|---|
| 传输方式 | 有线 / 无线 | 是否基于无线通信技术完成接入、传输及使用 |
| 应用场景 | 有线：采集类、接入类；无线：采集类、接入类、交互类 | 设备在链路中的实际角色，不是产品品类名 |
| 安全能力 | 通用型 / 增强型Ⅰ / 增强型Ⅱ | 密码模块、证书、数据保护、可管控能力的档位 |
三个维度组合起来才是完整档位，比如“无线交互类增强型Ⅱ”和“有线采集类通用型”，两者的要求清单差得很远。实际项目里出问题，十有八九是把“类”和“级”当成一回事，或者干脆只报一个“增强型”就算交差。
2.2 表 1 不是清单，是一张“要不要做”的判定矩阵
表 1 横向是档位列，纵向是条款号，格子里三种符号：● 表示应满足，○ 表示宜满足，— 表示不需要满足。它的作用不是罗列要求，而是回答一个很具体的问题：我这一档到底要满足哪几条。摘几行出来看得更清楚。
| 条款 | 要求要点 | 矩阵里的分布 |
|---|---|---|
| 5.3.1.1 | 唯一电子身份标识 | 全部档位 ● |
| 5.3.1.2 | 密码模块不可更改的唯一标识 | 仅带密码模块的增强型 ● |
| 5.3.1.4 | 基于数字证书的设备身份认证 | 仅增强型 ● |
| 5.4.2 | 采集类支持专用工具集中设置口令 | 仅采集类 ● |
| 5.4.6 | 设置最大会话数量 | 仅增强型Ⅱ ● |
| 5.5.6 | 信令校验失败等事件检测 | 仅增强型 ● |
| 5.6.3 | 重点区域视频流符合 GB 35114 C 级 | 仅增强型 ● |
| 5.8.2 | 日志保存 180d 或 Syslog 上传 | 全部档位 ○ |
| 5.9.1—5.9.8 | 无线交互类设备管控 | 仅无线交互类增强型 ● |
| 5.10.2 | 按无线相关标准与业务系统交互 | 仅无线增强型 ● |
读这张矩阵有个技巧：把 ●○— 当成三档预算，而不是三种合格线。● 是必须花钱做的，○ 是可以用架构换的，— 是明确可以不做的。项目里最容易超支的地方，不是漏做了 ●，而是把 ○ 当 ● 做——在摄像机上堆本地存储去凑日志留存天数，成本比在平台侧收日志高出一截，效果还更差。
反过来也有另一种浪费：把 — 当成“没要求”直接忽略。矩阵里的横杠是有边界的，它表示这一档不需要满足该条款，不表示这类设备可以不做这件事。比如 5.5.6 在通用型上是横杠，但如果项目后续要升级到增强型，这条迟早要补上，早做规划比事后返工便宜得多。
2.3 无线接入类和交互类没有通用型，这个空缺是刻意的
表 1 里，有线采集、有线接入、无线采集都有通用型一列，无线接入和无线交互只有增强型Ⅰ和增强型Ⅱ。也就是说，一台设备只要踏进无线接入或无线交互这两个场景，最低档就是增强型Ⅰ，不存在“先用通用型过渡”这个选项。
这个设计不难理解。无线链路把“物理边界”这件事取消了，设备的暴露面从一根网线变成整片空口，通用型那套以口令和端口控制为主的能力撑不住。从行业角度看，这是整份标准里信号最强的一处：无线侧不设低门槛入口，进场就是增强型起步。
对做选型的人来说，这意味着无线类项目的成本结构跟有线完全不是一回事。有线可以先铺通用型、重点点位升增强型，用点位密度换预算；无线这边从第一台设备开始就得按增强型Ⅰ的物料清单报价，密码模块、证书、日志存储、接入认证，一项都省不掉。报价阶段漏掉任何一项，后面都是补差价和改方案，这类坑在项目复盘里出现频率很高。
3. 逐条拆：从物理安全到日志，哪些是真门槛
第 5 章一共 9 组要求：总体要求、物理安全、身份鉴别、访问控制、入侵防范、数据安全、证书和密钥管理、日志安全，再加上无线交互类管控和无线承载业务这两组只对无线侧生效的条款。逐条读下来会发现，真正吃功夫的不是加密算法，而是那些看起来最琐碎的管理类条款——默认账户、锁定策略、超时时间、日志字段。这些恰恰是检测时最容易被翻出来的。
3.1 身份鉴别与访问控制：一台设备两个身份，三处容易掉链子
5.3.1.1 要求前端设备具有唯一电子身份标识，采用 GB/T 28181 或 GA/T 1400 协议传输的，编码规则还得按对应标准走。5.3.1.2 是加码项：带密码模块的设备，密码模块里要有一个不可更改的唯一电子身份标识，编码规则按 GB 35114—2017 附录 B。这是两套身份，一套在业务协议层，一套在密码层，不能互相顶替，也不能只做一套就宣称“有唯一标识”。
5.3.1.3 是整组里信息量最大的一条。设备接入时、采集类连接接入类时，采用基于口令的数字摘要认证，口令要具备复杂度控制、定期更换、加密传输和存储的能力，并且要和账号不同；用动态口令的，认证流程按 GM/T 0021；走 GB/T 28181 的按该标准 9.1；走 GA/T 1400 的按 GA/T 1400.4—2017 的 7.2.1 和 7.3.1；用 HTTP 访问的，要支持安全模式，比如 Digest 认证或 WSSE 认证。
“口令应和账号不同”这一句，是实测里最常翻车的地方。很多设备的出厂配置就是账号口令同名，改了口令没改账号，或者改完又被恢复出厂设置带回去了。这条不满足，后面做多少加密都是白搭。
5.3.2 讲鉴别失败处理：连续失败 5 次后锁定该账号不低于 5 分钟，并且支持对失败次数和锁定时长的设置；锁定后要能通过至少一种方式解锁，比如由更高权限用户操作。5.3.3 讲超时：通信会话要能设置最大超时时间，可修改的只能由已授权用户设定；超时时间内无操作会话终止，再操作重新鉴别。
访问控制侧的要求更细。5.4.1 要求首次登录时重命名或删除默认账户，删不掉的要改默认口令；5.4.3 要求支持删除或停用多余、过期账户，禁止共享账户；5.4.4 要求授予管理类用户最小权限并实现权限分离；5.4.5 要求访问控制粒度至少包括 IP、MAC 等属性；5.4.7 和 5.4.8 分别禁止非授权用户访问系统文件、对设备上的软件进行配置或变更；5.4.9 是协议白名单，用户通过系统访问前端设备时，设备只接收基于 GB/T 28181、GA/T 1400 或 GB 35114 的协议访问；5.4.10 管的是绕过平台直连设备的情况，只接收特定 IP 或基于外设的访问。
把这些条款落成可执行的检查项，比对着文档逐条打勾要靠谱得多。下面这段脚本把 5.3 和 5.4 里几个能自动判定的点抽了出来。
# 把 GA/T 1788.2—2021 的 5.3.1.3、5.3.2.1、5.3.3.1 转成可执行自查 import re def check_credential_policy(cfg: dict) -> list[str]: errs = [] # 5.3.1.3：口令不得与账号相同，且需有复杂度控制 if cfg["password"] == cfg["account"]: errs.append("口令与账号相同，违反 5.3.1.3") classes = sum(bool(re.search(p, cfg["password"])) for p in [r"[a-z]", r"[A-Z]", r"\d", r"[^A-Za-z0-9]"]) if classes < cfg["min_classes"]: errs.append(f"字符类别只命中 {classes} 类，低于项目阈值") # 5.3.2.1：连续失败 5 次后锁定，时长不低于 5 min if cfg["fail_threshold"] > 5: errs.append("连续失败阈值大于 5，不满足 5.3.2.1") if cfg[" <p> <a href="https://download.csdn.net/download/weixin_43787854/85185386" style="color:#ec7500;font-size:14px;"> 本文还有配套的精品资源，点击获取 </a> <img alt="menu-r.4af5f7ec.gif" src="https://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif" style="width:16px;margin-left:4px;vertical-align:text-bottom;cursor:text;"> </p>
