Izdavanje i vraćanje RFID ključeva: više-tok rada kontrole pristupa lokacijama

Serija RFID privjesaka za ključeve može proći dobavljačev test čitanja i još uvijek postati operativni problem na dan kada je izdata. Tim objekata može imati ispravne akreditive, ali ne i pouzdanu evidenciju o tome koja kancelarija ih je primila, koji zaposlenik ih ima, koji broj kontrolor prepoznaje ili je li prijavljeni-izgubljeni fob zapravo onemogućen.

Za kontrolu pristupa više{0}}lokacija, praktičan zadatak je povezivanjefizička zaliha, elektronski identitet, imenovani vlasnik, odobreni pristupni profil i zabilježen status životnog ciklusa. Sistem mora održavati te odnose tačnim kada se fob izda, prenese, vrati, izgubi ili zamijeni. Ovo je operativni postupak za timove za pristup uredima, kampusu i izvođačima-a ne poređenje čipova za fob ili vodič za kupovinu dobavljača.

 

 

Jedan fob, pet različitih ploča

Počnite odvajanjem stavki koje osoblje često kombinuje u jednu kolonu tabele koja se zove "broj kartice".

Broj odštampan na fob-u može biti zgodna referenca za inventar, a ne njegova stvarna vrijednost akreditiva{0}}na strani čitaoca. Šifra objekta, broj kartice, heksadecimalni prikaz ili vlasnički kodiranje mogu biti uključeni u zavisnosti od instalirane platforme. Syntek'sobjašnjenje kako funkcioniraju privjesci{0}}kontrola pristupaposjeduje to pitanje tehničke kompatibilnosti; tok posla ovdje pretpostavlja da je kompatibilna vjerodajnica već odobrena.

 

 

Odvojite primopredaju fabrike od prijave na lokaciju

Postoje dva primopredaja. Prvo kupac prihvaća fizičku isporuku prema odobrenoj specifikaciji dobavljača. Zatim ovlašteni administrator upisuje ili aktivira akreditive za stvarnog vlasnika u sistemu-kontrole pristupa. Ispunjavanje jednog ne dokazuje drugo.

Datoteka primopredaje dobavljača može razumno sadržavati referencu serije, redosljed artikla, odštampani broj, odobreni elektronski identifikator ili format, odredište pakovanja/mjesta i raspored kvaliteta. Dobavljaču generalno nije potreban kompletan spisak zaposlenih ili istorija dozvola. Organizacija može mapirati isporučene akreditive nosiocu kasnije, unutar svog vlastitog sistema kontrolisanog pristupa.

Za uvođenje više-lokacija, nominirajte jednog vlasnika imenskog prostora numeracije/identiteta. Dvije lokacije koje se naručuju odvojeno ne bi trebale slučajno stvoriti kolizije vjerodajnica ili primati preklapajuće raspone ako ti rasponi moraju biti jedinstveni u zajedničkom sistemu. Pristupni-prodavac ili integrator sistema mora definirati stvarnu granicu jedinstvenosti.

 

 

Primite pošiljku kao kontrolisane zalihe

Prijem bi trebao dati dokumentirani odgovor na četiri pitanja: šta je isporučeno, koji elektronski identifikatori su prisutni, koja je lokacija odgovorna za zalihe i koje jedinice nisu dostupne za izdavanje.

Za svaku isporuku ili pod{0}}seriju provjerite:

• Količina i grupa:kartoni, kese i rasporedi na lokaciji odgovaraju evidenciji pakovanja.
• Integritet reference:vidljivi brojevi ili oznake odgovaraju odobrenoj datoteci za mapiranje gdje je to navedeno.
• Elektronski odgovor:reprezentativne ili određene jedinice mogu se identificirati korištenjem stvarno prihvaćenog toka rada čitača/kodiranja.
• Jedinstvenost:poređenje{0}}nivoa podataka ne pronalazi duplikate u imenskom prostoru koji zahtijeva jedinstvene aktivne vjerodajnice.
• Izuzeci:oštećene, nečitljive, duplicirane ili neprepoznate jedinice stavljaju se u karantin umjesto da se dodaju dostupnim zalihama.

Nivoi uzorkovanja i pragovi prihvatljivosti spadaju u dogovorenu specifikaciju kupca; ni generički procenat ni zvučni signal čitača nisu dovoljan dokaz za svaki projekat.

 

 

Dajte svakoj lokaciji čuvara dionica i granicu pomirenja

Jedan centralni tim može kupiti sve fobove dok ih izdaju pojedinačni uredi. Za taj aranžman je potrebna eksplicitna evidencija o čuvanju, a ne jedinstveni ukupni inventar.

Jednostavan model zaliha razlikuje:

• Centralna neraspoređena dionica:korisne jedinice koje još nisu dodijeljene lokaciji.
• Dostupne zalihe stranice:upotrebljive jedinice koje fizički drži imenovani čuvar.
• Rezervirane zalihe:jedinice izdvojene za odobreni zahtjev, ali nisu predate.
• Izdate dionice:fizički akreditivi predati vlasnicima i praćeni u pristupnom sistemu.
• Karantena ili penzionisana zaliha:oštećene, dvosmislene, vraćene-izgubljene ili na drugi način ne-jedinice koje se ne mogu izdati.

Transferi između ureda trebaju se evidentirati kao dva povezana događaja: otpuštanje sa lokacije slanja i prijem na odredište. Pošiljka u tranzitu ne bi se trebala pojaviti kao dostupna na obje lokacije.

 

 

Izdajte Fob tek nakon što su identitet i pristup odobreni

Cilj izdavanja je da se dokaže da je određena fizička akreditacija data ispravnoj osobi i omogućena ispravnim dozvolama. Normalan redosled je:

1. Potvrdite identitet vlasnika i ovlašteni zahtjev ili sponzora.
2. Odaberite dostupnu, ne-karantiniziranu fob iz odgovarajućeg inventara web lokacije.
3. Pročitajte ili potvrdite elektronski identifikator akreditiva pomoću odobrenog čitača/alata.
4. Povežite taj akreditiv sa nosiocem u sistemu{0}}kontrole pristupa.
5. Primijeniti odobreno mjesto, grupu vrata, raspored i pravila isteka; izbjegavajte kopiranje širokih dozvola od prethodnog vlasnika.
6. Testirajte dozvoljen pristup i, gdje je to izvodljivo, predstavnik zabranio-uvjet pristupa.
7. Zabilježite fizičku primopredaju, operatera izdavanja, potvrdu vlasnika i efektivni status.

Kada je upis softvera centraliziran, administrator stranice možda neće imati privilegije za kreiranje dozvola. U tom slučaju tok posla bi trebao zahtijevati potvrdu autorizacije prije fizičkog otpuštanja fob-a.

 

 

Koristite profil pristupa{0}}posebnog pristupa, a ne implicitnu globalnu dozvolu

Čitaoci mogu prepoznati više-akreditive na nekoliko lokacija bez ovlaštenja da otvore sva vrata. Priznavanje i autorizacija ostaju odvojene odluke.

Definirajte profile kao što su zaposleni na lokaciji A, izvođač na lokaciji B, održavanje nakon{0}}radnog radnog vremena ili privremeni posjetitelj, ali ih tretirajte kao primjere, a ne kao univerzalne postavke. Za svaki profil potrebno je odobrenje vlasnika, dozvoljena vrata, raspored, uvjet isteka i pravilo pregleda. Izvođači mogu zahtijevati sponzora i vremensko ograničenje; stalno osoblje može dobiti odobrenje odjela.

NIST SP 800-53 PE-2poziva na održavanje ovlaštenih-lista pristupa, izdavanje akreditiva, pregled pristupa i uklanjanje ljudi kada pristup više nije potreban. Ovo je koristan kontrolni okvir, a ne tvrdnja da svaka mala kancelarija mora implementirati određeni NIST program sertifikacije.

 

 

Znajte šta snimiti za svaku primopredaju

Koristan dnevnik operacija{0}}akreditiva baziran je na događajima. Revizoru treba reći šta je promijenjeno, ko je to odobrio, ko ga je izvršio, na koji fob je utjecalo i da li je promjena verifikovana.

Nemojte stavljati nepotrebne osjetljive podatke o identitetu u tabelu dobavljača niti ih ispisivati ​​na ljusci. Dnevnici pristupa i lični podaci trebaju slijediti pravila privatnosti, zadržavanja i{1}}kontrole pristupa organizacije.

 

 

Prijavljeni-izgubljeni fob pokreće dvije radnje

Kada vlasnik prijavi da nedostaje fob, prvi prioritet je onemogućiti njegovo ovlaštenje-da ne čeka zamjensku pošiljku. Drugi je ažuriranje fizičkih zaliha i evidencije o incidentima.

Praktični izgubljen-fob proces je provjera izvještaja, identificiranje tačne akreditive, suspenzija ili opoziv putem platforme za{1}}kontrolu pristupa, potvrda promjene prenesene na pogođene lokacije, dokumentiranje incidenta i zatim izdavanje nove akreditive pod posebnom referencom.HID-ovo uputstvo za podršku akreditivaisto tako upućuje operatere da deaktiviraju akreditive koji nedostaju i dodijele zamjenu.

Neke pristupne instalacije keširaju dozvole u čitačima ili kontrolerima, rade van mreže ili se sinkroniziraju preko servera. U takvim slučajevima centralni status "invalid" možda neće odmah dokazati poricanje na svim vratima. Integrator mora definirati ponašanje širenja i metodu verifikacije. Gde sistem dozvoljava, testirajte opozvanu akreditaciju na reprezentativnoj kontrolisanoj ulaznoj tački; inače provjerite status podržanog kontrolera ili evidencije.

 

 

Vraćeno nije isto što i onemogućeno

Zaposleni može postaviti fob na recepciju dok ga baza podataka{0}}kontrole pristupa još uvijek tretira kao aktivnu. Može se dogoditi i obrnuto: opozvana fob ostaje fizički nestala.

Ove dvije dimenzije držite odvojeno:

Nikada nemojte pretpostavljati da brisanje zapisa osobe automatski mijenja trenutno stanje pristupa svakog kontrolera ili čitača. Provjerite u odnosu na ponašanje stvarne platforme.

 

 

Odlučite da li se vraćeni fobovi mogu ponovo izdati

Ponovno korištenje netaknutih privjesaka može imati smisla za kontrolirane operacije s malim-trenjem, ali to je odluka sistemske{1}}politike. Naslijeđeni LF fob-samo za čitanje može sadržavati nepromjenjivi identifikator; operater može promijeniti svoj pristup-sistemskoj dodjeli bez promjene čipa, pod uslovom da softver podržava taj tok posla. U pametnom sistemu akreditiva, zaštićeni podaci aplikacije, personalizacija i ključevi mogu zakomplicirati ili zabraniti preraspodjelu.

Prije ponovnog izdavanja, uklonite pristup bivšem vlasniku, pregledajte i pročitajte fob, provjerite njegov status na povezanim sistemima, obrišite ili rekonfigurirajte podatke-specifične aplikacije samo kada su podržani i ovlašteni, kreirajte novu asocijaciju i izvršite test pristupa od kraja{1}}do{2}}završetka. Ako je stari akreditiv povezan sa sigurnosnim incidentom, politika organizacije može zahtijevati trajno penzionisanje.

Ponovno izdavanje nikada ne bi trebalo opisati kao "resetiranje UID-a". Mnogi vjerodajnici imaju identifikatore koji se-ne mogu ponovno upisivati; operativna promjena se može dogoditi samo u bazi podataka kontrolora.

 

 

Offboarding mora zatvoriti dozvolu svake web lokacije

Kada korisnik napusti organizaciju ili se završi zadatak izvođača, vlasnik sistema mora ukloniti njihovu autorizaciju čak i ako fob nije fizički vraćen. Za objekte sa više-lokacija, dovoljan je jedan zaboravljeni sajt ili nezavisni kontroler da se ostavi jaz u pristupu.

Dajte zadatku izvan broda odgovornog vlasnika. Potvrdite aktivne akreditive vlasnika, onemogućite sve relevantne dodjele pristupa, pomirite fizičke povrate, evidentirajte nedostajuće stavke i zatvorite zahtjev tek kada se završe propisane provjere. Ako osoba ima i fizički fob i mobilni akreditiv, tretirajte ih kao zasebne evidencije vjerodajnica osim ako platforma dokumentira jedinstveno ponašanje opoziva.

HID'sdokumentacija za upravljanje vjerodajnicamailustruje zašto su zamjena, prekid i status vjerodajnica eksplicitne operacije životnog ciklusa u upravljanim sistemima identiteta. Specifične funkcije dostupne za uobičajeni LF ili HF sistem{1}}pristupa i dalje zavise od sopstvenog softvera.

 

 

Uskladiti fizičku zalihu sa aktivnim vjerodajnicama

Periodična revizija treba da uporedi najmanje tri izvora:-držane dionice, registar dodjele i aktivnu listu akreditiva-sistema kontrole pristupa. Korisni rezultat nije samo "400 privjesaka za ključeve pri ruci"; to je lista izuzetaka kojima je potrebna akcija.

Potražite aktivne akreditive bez odobrenog nosioca, ukinutu osobu s preživjelim pristupom, fob koji je zabilježen kao vraćen, ali još uvijek omogućen, duplo aktivno mapiranje gdje je zabranjeno, nedostajući inventar lokacije, neiskorištene zalihe slučajno upisane i transfere koji nikada nisu dobili potvrdu odredišta.

Postavite učestalost pregleda i rokove odgovora iz poslovnog rizika. Za-lokacije izvođača radova sa velikim prometom možda će biti potrebne češće provjere nego male kancelarije sa stabilnim osobljem. Opšti mjesečni ili tromjesečni raspored ne može zamijeniti dogovorenu politiku.

 

 

Pilotirajte cijeli životni ciklus prije uvođenja

Koristite reprezentativne vjerodajnice, najmanje dvije konfiguracije lokacije ako projekt obuhvata različite pristupne sisteme i test slučajeve koji vrše tranzicije umjesto samo predstavljanja novog fob-a čitaču.

Označite kvarove sa vlasnikom i zahtjevom za ponovno testiranje. Fabrička inspekcija dobavljača može pokazati odgovor oznake i ispravne podatke, ali ne može zamijeniti testiranje stvarnog toka upisa i dozvola organizacije.

 

 

Zatražite od dobavljača čistu primopredaju, a ne bazu podataka zaposlenih

Prilikom puštanja u rad masovnih RFID privjesaka, specifikacija kupovine bi trebala identificirati odobrenu tehnologiju čipa/akreditiva, referencu kompatibilnosti čitača, očekivani elektronski format podataka, vidljivo pravilo numeriranja, jedinstveni-zahtjev za opseg ili mapiranje, grupisanje/grupiranje mjesta, proces odobrenja uzorka{1}} i potrebe za dolaznom verifikacijom.

Operater web lokacije treba zasebno kontrolirati identitet zaposlenika, dozvole, odobrenja za izdavanje, izgubljene-fob odgovore i evidencije revizije. Kada se od dobavljača traži da unaprijed-kodira ili unaprijed-broj, precizno se dogovorite koja polja su mu potrebna i kako će se nepodudarnosti rješavati. Syntek'sVodič za kompatibilnost privezaka za blizinupokriva upstream tehničku odluku o kupovini, dok je njegovaKategorija proizvoda RFID ključevaostaje komercijalni vlasnik za fizički izvor vjerodajnica.

 

 

Kontrolna tačka je dodjela, a ne privjesak za ključeve

Lakše je upravljati operacijama privezaka na više{0} lokacija kada jedan lanac ostaje pod kontrolom:

odobreni akreditivi → primljene zalihe → čuvanje lokacije → verifikovani vlasnik → profil ovlašćenog pristupa → događaj životnog ciklusa → potvrda sistema → usaglašavanje zaliha.

Privezak za ključeve koji skenira ispravno je samo početak. Izdavanje je završeno kada se evidentiraju i verificiraju fizički vlasnik i elektronske dozvole; vraćanje, zamjena i iskrcavanje su završeni kada se pomire i autoritet vjerodajnice i evidencija o fizičkoj zalihi.