Jak bezpieczne są karty identyfikacyjne RFID dla pracowników?

Karty identyfikacyjne RFID dla pracowników mogą zapewniać bardzo wysoki poziom ochrony, ale sam fakt, że działają bezstykowo, nie czyni ich automatycznie bezpiecznymi. To pierwsza kwestia, którą powinien zrozumieć każdy kupujący, menedżer ds. bezpieczeństwa oraz osoba odpowiedzialna za administrację obiektem. Wiele firm nadal zadaje niewłaściwe pytanie: czy pracownicze karty RFID są bezpieczne, jak gdyby odpowiedź zależała wyłącznie od plastikowego nośnika. W rzeczywistości poziom ochrony wynika z konstrukcji całego systemu identyfikatorów. Znaczenie mają technologia karty, konfiguracja czytników, sposób kodowania, oprogramowanie kontroli dostępu, procedury odbierania uprawnień, zasady wydawania kart tymczasowych oraz konsekwencja osób zarządzających systemem. Dwa identyfikatory, które wyglądają niemal identycznie, mogą w praktyce oferować zupełnie inny poziom bezpieczeństwa.

Jest to szczególnie ważne, ponieważ karty pracownicze nie pełnią już wyłącznie funkcji wizualnych identyfikatorów. W wielu organizacjach ta sama karta RFID otwiera drzwi wejściowe, pomieszczenia biurowe, bramy parkingowe, windy, serwerownie, laboratoria, pokoje socjalne i magazyny. Może również obsługiwać rejestrację czasu pracy, autoryzację wydruków lub płatności w stołówce. Gdy jedna karta zapewnia tak szerokie uprawnienia, niewłaściwie zaprojektowane poświadczenie przestaje być drobnym problemem technicznym i staje się realnym ryzykiem biznesowym.

Bezpieczeństwo kart RFID zależy od całego systemu identyfikacji

Rzetelna odpowiedź brzmi więc następująco: karty RFID dla pracowników są bezpieczne, gdy stanowią część prawidłowo zaprojektowanego systemu. Stają się słabym zabezpieczeniem, gdy firma traktuje je wyłącznie jako proste plastikowe przepustki. Podstawowa karta zbliżeniowa 125 kHz może nadal być wystarczająca w biurze o niskim poziomie ryzyka, jeżeli środowisko jest stabilne, a system pozostaje pod ścisłą kontrolą. Bezpieczna karta inteligentna 13,56 MHz, na przykład identyfikator pracowniczy MIFARE DESFire, zwykle lepiej sprawdza się tam, gdzie organizacja potrzebuje skuteczniejszego zarządzania poświadczeniami, precyzyjnego podziału ról i możliwości dalszej rozbudowy. Sama karta ma znaczenie, lecz jeszcze ważniejszy jest cały system, w którym działa.

Jednym z najczęstszych błędów jest założenie, że wszystkie pracownicze karty RFID zapewniają podobny poziom ochrony. Tak nie jest. Różnica między starszą kartą dostępu pracującą na niskiej częstotliwości a nowoczesnym inteligentnym identyfikatorem może być bardzo duża. Wiele starszych systemów biurowych nadal korzysta z prostych kart 125 kHz, ponieważ są niedrogie, dobrze znane administratorom i łatwe do wymiany. Nie oznacza to, że są niebezpieczne w każdym zastosowaniu. Zazwyczaj najlepiej odpowiadają jednak prostszym środowiskom, w których karta wykonuje jedno lub dwa przewidywalne zadania. Gdy firma potrzebuje szerszego zakresu uprawnień, dokładniejszych audytów lub większej odporności na proste kopiowanie identyfikatorów, ograniczenia starszego systemu stają się coraz bardziej widoczne.

Dlaczego starsze karty zbliżeniowe mogą stanowić zagrożenie

Przekonała się o tym firma świadcząca usługi finansowe w Chicago. Przez wiele lat używane przez nią biurowe karty kontroli dostępu spełniały podstawowe wymagania. Pracownicy korzystali z nich przy wejściu do recepcji i otwieraniu ogólnodostępnych drzwi biurowych, dlatego nikt nie analizował szczegółowo zastosowanej technologii. Sytuacja zmieniła się, gdy firma rozszerzyła działalność o procesy obejmujące archiwa dokumentacji zgodności, piętra kadry zarządzającej oraz dostęp wykonawców poza standardowymi godzinami pracy. Podczas szerszego audytu organizacja zdała sobie sprawę, że stare karty pracownicze RFID 125 kHz nadal realizują zadania, do których powinien służyć znacznie nowocześniejszy system. Nie doszło do spektakularnego incydentu, lecz rozwiązanie przestało odpowiadać wymaganemu poziomowi kontroli. Firma przeszła na bezpieczniejszą platformę kart inteligentnych, ponieważ rozwój działalności wyprzedził możliwości starszego systemu identyfikatorów.

Ten przykład pokazuje istotną zależność. Bezpieczeństwo nie sprowadza się wyłącznie do tego, czy kartę można teoretycznie skopiować. Liczy się również dopasowanie całego systemu do wrażliwości chronionego obszaru. Prosta karta pracownicza może być wystarczająca przy jednych drzwiach, a całkowicie nieodpowiednia przy innych.

Typowe zagrożenia mają często charakter operacyjny

Kopiowanie kart przyciąga wiele uwagi, ponieważ łatwo je zrozumieć i przedstawić jako alarmujące zagrożenie. Nie jest to jednak jedyny ani zawsze najczęstszy powód utraty bezpieczeństwa przez identyfikatory pracownicze. W wielu firmach większe ryzyko wynika ze znacznie bardziej prozaicznych sytuacji: zgubiona karta nie zostaje szybko dezaktywowana, identyfikator wykonawcy pozostaje aktywny zbyt długo, pracownik pożycza kartę współpracownikowi, zmiana działu nie prowadzi do aktualizacji uprawnień, a duplikat karty jest drukowany na podstawie nieaktualnych danych. Zdarza się również, że identyfikator byłego pracownika nadal działa, ponieważ procedura odebrania dostępu nie została prawidłowo zakończona. Takie przypadki występują znacznie częściej niż zaawansowane ataki techniczne i mogą mieć równie poważne konsekwencje.

Z podobnym problemem zetknął się magazyn logistyczny w Ohio. Kierownictwo początkowo koncentrowało się na teoretycznej odporności kart RFID na klonowanie, lecz rzeczywiste zagrożenie wynikało z zachowania personelu. Pracownicy z podobnych zmian sporadycznie pożyczali sobie identyfikatory, aby pomóc osobie, która zapomniała karty, przejść przez bramkę rejestracji czasu pracy lub wejście boczne. Słabym punktem nie była wyłącznie technologia, lecz również kultura korzystania z kart. Po wprowadzeniu dokładniejszego monitorowania wejść, lepszego powiązania uprawnień z rolami oraz bardziej rygorystycznych zasad wymiany zgubionych kart poziom bezpieczeństwa wzrósł bardziej, niż zapewniłaby sama zmiana nośnika. Nie oznacza to, że technologia była bez znaczenia. Pokazuje natomiast, że bezpieczny system identyfikacji nie może opierać się wyłącznie na parametrach technicznych kart.

Kiedy inteligentne identyfikatory pracownicze są lepszym wyborem

Technologia nadal odgrywa ważną rolę, szczególnie gdy organizacja chce zbudować solidną podstawę do długoterminowego rozwoju systemu. W wielu współczesnych wdrożeniach inteligentną kartę 13,56 MHz łatwiej dostosować do dobrych praktyk bezpieczeństwa niż podstawową kartę zbliżeniową starszego typu. Dlatego nabywcy poszukujący bezpiecznych identyfikatorów pracowniczych, inteligentnych kart dla personelu, kart RFID do kontroli dostępu w biurowcach lub kart pracowniczych DESFire coraz częściej wybierają technologię wysokiej częstotliwości. Nie wynika to z potrzeby stosowania bardziej zaawansowanych rozwiązań dla samej technologii. Powodem jest rosnąca złożoność środowisk, w których obecnie funkcjonują identyfikatory pracownicze.

Dobrym przykładem jest kampus biotechnologiczny w Singapurze. Obiekt potrzebował jednej karty do wejścia przez recepcję, poruszania się po biurach, uzyskiwania dostępu do laboratoriów, wspólnych pomieszczeń ze sprzętem oraz wybranych magazynów o podwyższonym poziomie ochrony. Na terenie kampusu regularnie pracowali również wykonawcy, wizytujący naukowcy i ekipy sprzątające, którym należało nadawać kontrolowane uprawnienia o ograniczonym czasie ważności. Prosty system identyfikatorów wymagałby zbyt wielu kompromisów. Firma wybrała bardziej uporządkowaną platformę kart inteligentnych, aby precyzyjnie rozdzielać dostęp bez nadmiernego komplikowania codziennej administracji. W takim środowisku mocniejsze zabezpieczenia karty nie były luksusem, lecz podstawą sprawnego zarządzania.

Zarządzanie cyklem życia karty jest podstawą bezpieczeństwa

Jednym z obszarów decydujących o bezpieczeństwie identyfikatorów jest proces odbierania uprawnień. Firmy często nie doceniają ryzyka związanego ze starymi kartami. Identyfikator należący wcześniej do zaufanego pracownika staje się potencjalnym zagrożeniem, gdy dana osoba zmienia stanowisko, odchodzi z firmy lub przestaje potrzebować określonego dostępu. Jeżeli procedura zmiany roli lub zakończenia zatrudnienia jest niewystarczająca, karta może pozostawać aktywna znacznie dłużej, niż ktokolwiek przypuszcza. Prawidłowo wykonana karta RFID staje się wtedy problemem nie z powodu swojej jakości, lecz dlatego, że organizacja nie traktuje zarządzania cyklem życia poświadczeń równie poważnie jak procesu zatrudniania.

Firma programistyczna w Berlinie przekonała się o tym, gdy audyt wewnętrzny wykazał, że kilka identyfikatorów byłych pracowników pozostawało aktywnych jeszcze przez wiele tygodni po ich odejściu. Nie doszło do żadnego poważnego incydentu, ale samo odkrycie wystarczyło, aby firma przeprojektowała zasady dezaktywacji kart. Organizacja zainwestowała wcześniej w lepsze karty inteligentne, jednak najsłabszym punktem nadal pozostawał proces biznesowy. To ważne przypomnienie: bezpieczny system kart pracowniczych wymaga nie tylko kontrolowanego wydawania poświadczeń, lecz także ich skutecznego wycofywania.

Karty tymczasowe wymagają bardziej rygorystycznych zasad

Podobne zagrożenie wiąże się z użytkownikami tymczasowymi. Wykonawcy, personel sprzątający, konsultanci, pracownicy agencji oraz krótkoterminowi dostawcy często poruszają się po budynkach z szerokimi uprawnieniami, a ich identyfikatory podlegają ograniczonej kontroli. Wiele przedsiębiorstw inwestuje znaczne środki w bezpieczeństwo kart stałych pracowników, jednocześnie zbyt swobodnie zarządzając poświadczeniami tymczasowymi. W praktyce właśnie te karty mogą stać się najsłabszym elementem całego systemu kontroli dostępu.

Dokładnie taki problem wystąpił w firmie medialnej w Dubaju. Stałe identyfikatory pracowników były dobrze kontrolowane, jednak zewnętrzne ekipy sprzątające pracujące wieczorami oraz dostawcy usług technicznych korzystali z tymczasowych kart RFID zapewniających szerszy dostęp, niż rzeczywiście był im potrzebny. Karty można było łatwo wydawać, ale trudno było śledzić ich wykorzystanie. Rozwiązanie wydawało się wygodne do czasu przeprowadzenia przeglądu przez zespół bezpieczeństwa. Firma nie musiała wymieniać wszystkich kart. Zmieniła zasady wydawania identyfikatorów tymczasowych, skróciła okresy ich ważności oraz wyraźniej oddzieliła poświadczenia wykonawców od stałych kart pracowniczych. Zmiana przyniosła rezultaty, ponieważ organizacja przestała traktować wszystkich posiadaczy kart jako jedną kategorię ryzyka.

Fizyczny projekt identyfikatora również wpływa na bezpieczeństwo

Identyfikacja wizualna jest kolejnym niedocenianym elementem ochrony. Karty RFID dla pracowników nie są wyłącznie poświadczeniami odczytywanymi przez urządzenia. W wielu organizacjach służą również do weryfikacji dokonywanej przez ludzi. Identyfikator z wyraźnym zdjęciem, czytelnym imieniem i nazwiskiem, oznaczeniem firmy oraz widocznym rozróżnieniem kategorii personelu pomaga pracownikom recepcji, współpracownikom i ochronie szybciej podejmować właściwe decyzje. Karta może działać bezbłędnie w czytniku, a mimo to osłabiać bezpieczeństwo, jeżeli jest nieczytelna, zużyta lub łatwa do pomylenia z innym identyfikatorem.

Zakład produkcyjny w Meksyku zauważył ten problem podczas wymiany kart pracowniczych. Stare identyfikatory RFID nadal otwierały drzwi, ale zdjęcia szybko blakły, a powierzchnia nadruku ścierała się podczas intensywnego codziennego użytkowania. Kierownicy zmian i liderzy zespołów zaczęli polegać bardziej na osobistej znajomości pracowników niż na weryfikacji identyfikatorów, ponieważ karty przestały być wiarygodne wizualnie. Po poprawieniu jakości fizycznej kart i trwałości nadruku zwiększyła się zarówno skuteczność kontroli wykonywanej przez ludzi, jak i niezawodność całego systemu. W rzeczywistym środowisku pracy bezpieczeństwo łączy zaufanie do urządzeń z oceną człowieka, dlatego karta musi wspierać oba te elementy.

Karty wielofunkcyjne wymagają lepszej architektury systemu

Im więcej funkcji realizuje karta pracownicza, tym większego znaczenia nabiera bezpieczna architektura całego rozwiązania. Identyfikator otwierający tylko jedne drzwi zewnętrzne ma zupełnie inną wartość niż karta obsługująca wejście do biura, parking, rejestrację czasu pracy, autoryzację wydruków, płatności w stołówce, dostęp do poszczególnych pięter i pomieszczeń chronionych. Każda dodatkowa funkcja zwiększa znaczenie poświadczenia oraz potencjalne szkody wynikające z jego niewłaściwego zabezpieczenia. Dlatego wraz z rozwojem programu identyfikacji firmy często przechodzą na bardziej uporządkowane systemy kart inteligentnych.

Grupa szpitali w Bangkoku obserwowała ten proces stopniowo. Początkowo karty personelu służyły wyłącznie do podstawowej kontroli wejść i rejestracji czasu pracy. Następnie placówki dodały uprawnienia parkingowe dla starszego personelu medycznego, dostęp do apteki dla wybranych pracowników oraz możliwość wejścia do pomieszczeń technicznych. Karta identyfikacyjna przestała być zwykłą przepustką i stała się wielofunkcyjnym poświadczeniem operacyjnym. Grupa zaostrzyła zasady bezpieczeństwa, ponieważ zmienił się charakter ryzyka. Identyfikator reprezentował już nie tylko tożsamość użytkownika, lecz także jego możliwość poruszania się po obiekcie, zakres uprawnień i kontrolę nad procesami w wymagającym środowisku medycznym.

Migrację systemu i kodowanie kart należy dokładnie kontrolować

Na uwagę zasługują również projekty migracyjne. Wiele firm działa obecnie w środowiskach mieszanych, w których jeden budynek nadal korzysta ze starszych czytników niskiej częstotliwości, a inny wykorzystuje nowoczesne inteligentne czytniki kart. W takich przypadkach pomocne mogą być dwuczęstotliwościowe karty RFID, ale nie należy traktować ich jako automatycznej gwarancji poprawy bezpieczeństwa. Karta dwuczęstotliwościowa jest zwykle praktycznym rozwiązaniem pomostowym, a nie samodzielnym zabezpieczeniem. Jeżeli jedna z zastosowanych technologii nadal obsługuje słabsze środowisko starszego typu, ta część systemu pozostanie mniej bezpieczna niezależnie od tego, jak nowoczesna jest druga.

Operator przestrzeni coworkingowych w Londynie przekonał się o tym podczas modernizacji obejmującej wiele lokalizacji.