IPA（情報処理推進機構）より、公的機関にネットワークカメラを設置する場合のセキュリティ対策のチェックリストが公開されている。下記URLを参照いただきたい。
上記URLより、抜粋すると必要な対策は以下の通りである。
●設計構築【必須要件】として
■組織はカメラ以外の機器を入室制限された区域に設置する
■カメラ本体や本体に取り付ける外部記憶媒体（SDカード等）に映像データを蓄積しない
■カメラとレコーダー間のネットワーク回線は壁裏に敷設し、ハブの空きポートは物理的に塞ぐか、論理的に閉じる
■カメラへは運用や保守に必要なHTTP(S)接続のみを許可し、他のサービス（FTPやTELNET、UPNPなど）は必要なければ停止する
■接続元を限定できる機器（カメラ等）は、ソースIPアドレス等による接続元の制限を設定する
■サービスを提供する全ての機器、ソフトウェアで以下の設定を行う
・ サービスの利用に先だって識別認証する機能を有効にし、適切なアクセス制御の設定を行う
・ 管理者及び利用者の役割以外の不要なアカウントは削除する
・ 可能であれば個人毎に異なるIDで識別する
・ 管理者は自身及び利用者のパスワードを組織の「情報セキュリティ対策基準」に従って設定し、出荷設定値の使用は禁止する
・ 設定可能な場合、一定回数（3回程度）の連続した接続試行によるIDのロックを有効にする
■レコーダーのカメラの切断（再接続）検知機能をONにする
■管理者はカメラのログ／アラームにおいて不正なログインとみなす連続試行回数を定義し、検知する設定を行う（不可能な場合は定期的なログの確認を規定する）
■管理者はシステムの時刻を正しく設定し、維持する
■システム稼働前に、ベンダサイト、及び公知脆弱性情報を、システムを構成する機器の製品名・型番等で検索し、該当する脆弱性があった場合は対策済みの最新のファームウェアにアップデートを行う
■機器の障害発生時に再起動する手順を運用開始前に確認する
●設計構築【選択要件】として
＜レコーダーの機能要件＞
＊ HTTPSサーバ以外のサービス（HTTP、FTP、TELNET、UPｎP等）を停止できること
＊IPアドレスによる接続元制限を行う機能を有すること
＊識別認証前の設定行為を全て停止できること
＊識別認証機能を持ち、少なくても役割単位のアカウントが管理できること。
＊映像閲覧を含むレコーダーへのアクセス時に識別認証を実施できること
＊ログイン失敗の結果をログに出力できること
＊HTTPSサーバの機能を持ち、サーバ証明書をインストールする機能を持つこと
＊HTTPSの通信以外で送信されるログやアラームに保護資産を含まないこと
＜レコーダーとカメラおよびシステムに対する追加要件【選択要件】＞
＊いたずらを検知する機能を持つこと
＊50J（IEC 60068-2-75／JIS C 60068-2-75）以上、またはIK10（IEC 62262）以上に準拠していること
＊HTTPSサーバの機能を持ち、サーバ証明書をインストールする機能を持つこと
＊HTTPSの通信以外で送信されるログやアラームに保護資産を含まないこと
＊ 無線通信機能を有する場合には、WPA2-AES方式をサポートすること。
＊無線通信AP機能を有する場合には、SSIDの隠ぺい及びMACアドレスによる接続制限ができること
＊ミラーリング等のデータ消失に備えた機能を有すること
運用における必須要件として
■アラーム（カメラの切断、映像の停止、カメラへの物理的攻撃を想定した場合は、いたずらの検知）に応じてインシデント対応を行う
■ 定期的に機器に物理的な変化が無いかを確認するため、棚卸しを行う
■機器やソフトウェアで設定したパスワードは、管理者や利用者の変更に伴い、組織の基準や方針に従って（削除、追加、変更など）運用する。必要な場合は利用者への指導を行う
■ 以下の事象を検知した場合、インシデント対応を行う
・ 連続したログイン試行
・ 大幅な時刻の変更
■ 定期的にログを監査し、上記以外の不正なアクセスと考えられるログが無いことを確認する
■ 定期的にベンダサイト、及び公知脆弱性情報を、システムを構成する機器の製品名・型番等で検索し、該当する脆弱性があった場合は組織の基準や方針に従い脆弱性対応済のファームウェア適用の要否を判断して（計画停止時などに）対応する
■ 計画停止、及び保守作業を要すると判断した場合は、実施する日時を決めて保守フェーズを実施する
■ アラームや管理者の操作によりカメラなどの機器のサービス停止を検出した場合で、【物理攻撃への対策】または【不正アクセスの検知】に該当しない場合は、障害発生時の手順に従って機器の再起動を行う
・「可用性を要する場合の追加要件」の対象機器は、その復元手順に従う
保守／破棄フェーズにおける必須要件として
■管理者は保守フェーズの前後で、稼働しているサービスや識別認証情報に相違が無いことを確認し、不備があれば設計構築フェーズに従い設定する（可能な場合はフェーズ前の状態への復旧も検討する）
■管理者はリースやレンタルから返却時または廃棄時、機器に格納された保護資産（必要な場合は設定データも）を論理的に消去すること
■組織はリース返却した機器の保護資産が全て安全に廃棄されたことをデータ消去証明書にて確認する
以上である。筆者の印象としては、ややベンダーおよびユーザーに対しても負荷が重たい内容になっている印象を受けている。
各ベンダー側でも＜初期パスワードの変更＞などは昨今の報道を受けて変更するようになってきているが、HTTPSサーバの機能などは機能として持っていても設定しないケースも多いので、今後のベンダーは対策が必要になると考えられる。
場合によっては、カメラやレコーダーの機能のシステム改修や設定マニュアル（手順）の変更が必要となるであろう。また、ユーザー自身もシステムをより適切に利用できるように努めなければならない。
