Hvor sikre er RFID-medarbejderkort?

RFID-medarbejderkort kan være meget sikre, men kontaktløs teknologi er ikke i sig selv en garanti for høj sikkerhed. Det er det første, som indkøbere, sikkerhedsansvarlige og facility managers bør være opmærksomme på. Mange virksomheder stiller stadig spørgsmålet forkert. De spørger, om RFID-medarbejderkort er sikre, som om svaret alene findes i selve plastkortet. I praksis afhænger sikkerhedsniveauet af hele adgangskortsystemet. Det omfatter kortteknologien, læsernes konfiguration, kodningsmetoden, adgangskontrolsoftwaren, procedurerne ved fratrædelse, udstedelsen af midlertidige kort og den daglige administration af løsningen. To medarbejderkort kan se næsten identiske ud og alligevel tilbyde vidt forskellige niveauer af reel sikkerhed.

Det er vigtigt, fordi medarbejderkort ikke længere kun fungerer som visuel legitimation. På mange arbejdspladser bruges det samme RFID-kort til hoveddøre, kontorområder, parkeringsanlæg, elevatorer, serverrum, laboratorier, pauserum og lagre. Kortet kan desuden anvendes til tidsregistrering, frigivelse af print eller betaling i kantinen. Når ét kort giver adgang til så mange funktioner og områder, er et svagt legitimationsdesign ikke længere et mindre teknisk problem, men en reel forretningsmæssig risiko.

Sikkerheden i RFID-medarbejderkort afhænger af hele systemet

Det grundlæggende svar er derfor, at RFID-medarbejderkort er sikre, når de indgår i et gennemtænkt adgangskontrolsystem. De bliver derimod en svaghed, når virksomheden behandler dem som simple plastikkort. Et almindeligt 125 kHz-nærhedskort kan fortsat være tilstrækkeligt på et kontor med lav risiko, hvis miljøet er stabilt, og systemet administreres konsekvent. Et sikkert 13,56 MHz-smartkort, eksempelvis et medarbejderkort baseret på MIFARE DESFire, er normalt et bedre valg, når virksomheden har behov for stærkere kontrol med legitimationsoplysninger, tydeligere rolleopdeling og bedre muligheder for fremtidig udvidelse. Kortet er vigtigt, men den samlede løsning er endnu vigtigere.

En af de mest almindelige fejl er at antage, at alle RFID-medarbejderkort giver omtrent samme beskyttelse. Det gør de ikke. I praksis kan forskellen mellem et ældre lavfrekvent adgangskort og et moderne smart medarbejderkort være betydelig. Mange eksisterende adgangssystemer bruger stadig enkle 125 kHz-kort, fordi de er billige, velkendte og nemme at erstatte. Det betyder ikke, at de altid er usikre. De egner sig dog bedst til mere enkle miljøer, hvor kortet kun løser en eller to veldefinerede opgaver. Når virksomheden får behov for mere omfattende rettigheder, strengere revisionskrav eller bedre beskyttelse mod simpel kopiering, bliver begrænsningerne i ældre kortsystemer mere tydelige.

Derfor kan ældre nærhedskort udgøre en risiko

En virksomhed i den finansielle sektor i Chicago erfarede dette på den vanskelige måde. I flere år fungerede virksomhedens adgangskort tilfredsstillende. Medarbejderne brugte dem til receptionen og almindelige kontordøre, og der blev ikke lagt stor vægt på den underliggende teknologi. Senere udvidede virksomheden sine aktiviteter med compliancearkiver, direktionsetager og adgang for eksterne leverandører uden for normal arbejdstid. Ved en bredere sikkerhedsgennemgang blev det tydeligt, at de gamle 125 kHz-RFID-kort stadig udførte opgaver, som normalt kræver et mere moderne adgangssystem. Kortene havde ikke forårsaget et alvorligt sikkerhedsbrud, men de passede ikke længere til virksomhedens reelle kontrolbehov. Derfor overgik virksomheden til en mere sikker smartkortplatform.

Eksemplet illustrerer en vigtig pointe. Sikkerhed handler ikke kun om, hvorvidt et kort teoretisk kan kopieres. Det handler også om, hvorvidt systemet svarer til risikoniveauet i de områder, det beskytter. Et enkelt medarbejderkort kan være tilstrækkeligt ved én dør og helt utilstrækkeligt ved en anden.

Almindelige sikkerhedsrisici er ofte driftsmæssige

Kopiering af kort får stor opmærksomhed, fordi risikoen er let at forstå og egner sig til markante advarsler. Det er dog hverken den eneste eller nødvendigvis den mest almindelige årsag til, at medarbejderkort bliver usikre. I mange virksomheder er de største risici langt mere dagligdags: Et bortkommet kort bliver ikke deaktiveret hurtigt nok. Et midlertidigt kort til en ekstern medarbejder forbliver aktivt for længe. En medarbejder låner sit kort til en kollega. En intern jobændring bliver ikke fulgt op af nye adgangsrettigheder. Et erstatningskort fremstilles på baggrund af forældede oplysninger. Eller et kort virker fortsat, fordi fratrædelsesproceduren ikke blev gennemført korrekt. Sådanne hændelser forekommer langt oftere end avancerede tekniske angreb og kan være mindst lige så alvorlige.

Et logistiklager i Ohio oplevede netop denne type problem. Ledelsen var oprindeligt bekymret for, om virksomhedens RFID-medarbejderkort kunne modstå kopiering, men den reelle svaghed viste sig at være medarbejdernes adfærd. Personer på samme skiftehold lånte lejlighedsvis kort til kolleger, som havde glemt deres eget, så de kunne komme gennem tidsregistreringsporte eller sidedøre. Teknologien var derfor ikke den eneste svaghed. Kortkulturen var mindst lige så vigtig. Da virksomheden styrkede overvågningen ved indgangene, knyttede kortene tættere til rollebaserede rettigheder og forbedrede procedurerne for bortkomne kort, steg sikkerheden mere, end et isoleret kortskifte ville have gjort. En sikker løsning kan ikke baseres på kortets tekniske specifikationer alene.

Hvornår giver smarte medarbejderkort bedst mening?

Teknologien spiller dog fortsat en væsentlig rolle, især når virksomheden ønsker et stærkere og mere fremtidssikret fundament. I mange moderne installationer er et 13,56 MHz-smartkort lettere at tilpasse til god sikkerhedspraksis end et enkelt, ældre nærhedskort. Derfor vælger mange virksomheder, der søger sikre medarbejderkort, smarte ID-kort, RFID-adgangskort til kontorbygninger eller DESFire-medarbejderkort, en højfrekvent smartkortløsning. Det skyldes ikke et ønske om avanceret teknologi for teknologiens egen skyld. Det skyldes, at medarbejderkort i dag indgår i langt mere komplekse arbejdsmiljøer end tidligere.

Et bioteknologisk campusområde i Singapore viser hvorfor. Området havde behov for ét kort til receptionen, almindelige kontorområder, laboratorier, fælles udstyrsrum og udvalgte lagre med højt sikkerhedsniveau. Samtidig skulle skiftende eksterne medarbejdere, gæsteforskere og rengøringspersonale have kontrolleret og tidsbegrænset adgang. Et enkelt kortsystem ville have krævet for mange kompromiser. Virksomheden valgte derfor en mere struktureret smartkortløsning, som kunne understøtte tydelig opdeling af adgangsrettigheder uden at gøre den daglige administration uoverskuelig. I dette miljø var en stærkere kortteknologi ikke en luksus, men en grundlæggende driftsmæssig nødvendighed.

Administration gennem hele kortets levetid er afgørende

Sikkerheden i et medarbejderkortsystem afhænger i høj grad af procedurerne ved fratrædelse. Mange virksomheder undervurderer risikoen ved gamle, fortsat aktive kort. Et kort, der tidligere tilhørte en betroet medarbejder, kan blive en sikkerhedsrisiko, så snart personen skifter rolle, forlader virksomheden eller ikke længere har behov for bestemte rettigheder. Hvis procedurerne ved fratrædelse eller jobskifte er utilstrækkelige, kan kortet forblive aktivt længere, end nogen er klar over. Et velfungerende RFID-medarbejderkort kan dermed blive et sikkerhedsproblem, ikke fordi kortet er dårligt fremstillet, men fordi virksomheden ikke administrerer legitimationsoplysningernes livscyklus tilstrækkeligt konsekvent.

En softwarevirksomhed i Berlin opdagede dette, da en intern revision viste, at flere tidligere medarbejderkort stadig var aktive flere uger efter medarbejdernes fratrædelse. Der var ikke sket en alvorlig hændelse, men resultatet var tilstrækkeligt til, at virksomheden ændrede sine regler for deaktivering. Virksomheden havde investeret i bedre smartkort, men den svageste del af løsningen var fortsat de administrative processer. Et sikkert adgangskortsystem kræver derfor både sikker udstedelse og sikker deaktivering af legitimationsoplysninger.

Midlertidige kort kræver strengere regler

Midlertidige brugere skaber en lignende udfordring. Eksterne håndværkere, rengøringspersonale, konsulenter, vikarer og kortvarige leverandører bevæger sig ofte rundt i bygninger med forholdsvis brede adgangsrettigheder og begrænset kontrol med deres kort. Mange virksomheder investerer betydeligt i sikkerheden omkring de faste medarbejderes kort, men administrerer midlertidige legitimationsoplysninger for uformelt. I praksis kan disse kort blive det svageste punkt i hele adgangssystemet.

En medievirksomhed i Dubai stod over for netop dette problem. De permanente medarbejderkort var stramt administreret, mens eksternt rengøringspersonale og serviceleverandører brugte midlertidige RFID-kort med flere rettigheder, end deres arbejdsopgaver krævede. Kortene var nemme at udstede, men vanskelige at følge, hvilket virkede effektivt, indtil sikkerhedsteamet gennemgik ordningen. Problemet blev ikke løst ved at udskifte alle kort. Virksomheden ændrede i stedet reglerne for midlertidige kort, forkortede gyldighedsperioderne og adskilte eksterne brugeres legitimationsoplysninger tydeligere fra de permanente medarbejderkort. Dermed anerkendte virksomheden, at forskellige kortindehavere ikke nødvendigvis tilhører samme risikokategori.

Kortets fysiske design påvirker også sikkerheden

Visuel identifikation er en ofte undervurderet del af adgangssikkerheden. RFID-medarbejderkort er ikke kun elektroniske legitimationsoplysninger. På mange arbejdspladser fungerer de også som et redskab til menneskelig kontrol. Et kort med et tydeligt foto, et letlæseligt navn, virksomhedens logo og synlige forskelle mellem medarbejdertyper hjælper receptionister, kolleger og sikkerhedspersonale med hurtigt at træffe bedre beslutninger. Et kort kan fungere fejlfrit ved læseren og alligevel svække sikkerheden, hvis det er utydeligt, slidt eller let at forveksle med andre kort.

En produktionsvirksomhed i Mexico oplevede dette under en udskiftning af medarbejderkort. De gamle RFID-kort kunne stadig åbne dørene, men billederne falmede hurtigt, og den trykte overflade blev slidt ved intensiv daglig brug. Arbejdsledere begyndte i stigende grad at stole på personlig genkendelse frem for kortkontrol, fordi den visuelle identifikation ikke længere var pålidelig. Da virksomheden forbedrede kortenes fysiske kvalitet og trykkets holdbarhed, blev den menneskelige kontrol styrket sammen med kortenes tekniske funktion. Sikkerhed på en arbejdsplads bygger ofte på både elektronisk og menneskelig tillid, og kortet skal understøtte begge dele.

Kort med flere funktioner kræver bedre arkitektur

Jo flere funktioner et medarbejderkort understøtter, desto vigtigere bliver en sikker systemarkitektur. Et kort, der kun åbner én yderdør, har en begrænset rolle. Et kort, der håndterer kontoradgang, parkering, tidsregistrering, frigivelse af print, kantinebetaling, etageadgang og adgang til følsomme områder, repræsenterer en helt anden risiko. Hver ekstra funktion øger værdien af legitimationsoplysningerne og den potentielle skade, som et utilstrækkeligt sikret kort kan medføre. Derfor vælger virksomheder ofte mere strukturerede smartkortmiljøer, efterhånden som deres adgangskortprogram udvikler sig.

En hospitalsgruppe i Bangkok oplevede denne udvikling gradvist. Medarbejderkortene blev oprindeligt kun brugt til almindelig bygningsadgang og tidsregistrering. Senere tilføjede hospitalet parkeringsrettigheder til ledende klinikere, adgang til apoteksområder for udvalgte medarbejdere og adgang til udstyrsrum for tekniske teams. Medarbejderkortet var dermed ikke længere et enkelt personalekort, men en multifunktionel driftslegitimation. Hospitalet styrkede systemet, fordi sikkerhedsbehovet havde ændret sig. Kortet repræsenterede nu ikke kun identitet, men også bevægelsesfrihed, privilegier og autorisation til arbejdsgange i et krævende miljø.

Migrering og kodning skal administreres omhyggeligt

Migreringsprojekter kræver også særlig opmærksomhed. Mange virksomheder arbejder i blandede miljøer, hvor én bygning fortsat anvender ældre lavfrekvente læsere, mens en anden bruger nyere smarte kortlæsere. I sådanne situationer kan RFID-kort med dobbelt frekvens være nyttige, men de bør ikke betragtes som en automatisk sikkerhedsopgradering. Et kort med dobbelt frekvens fungerer normalt som en praktisk overgangsløsning og er ikke i sig selv en garanti for højere sikkerhed. Hvis den ene del af kortet fortsat bruges sammen med et svagere ældre system, forbliver denne del af sikkerhedsløsningen svagere, uanset hvor moderne den anden del er.

En coworking-operatør i London erfarede dette under en opgradering på tværs af flere lokationer.