Dagens system för passerkontroll har utvecklats till mångsidiga lösningar som inte bara skyddar mot obehörig åtkomst utan även integreras med andra kritiska områden inom organisationen, såsom personalavdelningen (HR), fastigheter, informationsteknik (IT) och byggnadssystem som värme, ventilation och luftkonditionering (VVS) samt miljötjänster.

– Detta är en mycket fördelaktig förändring som påverkar inköps- och beslutsprocesser för uppgraderingar och bidrar till att bryta ner de barriärer som tidigare funnits mellan fysisk åtkomstkontroll och cybersäkerhet, säger Jaroslav Barton.

Många krav att tillgodose

Enligt HID-rapporten ”2024 State of Access Control” måste installatörer, integratörer, konsulter och leverantörer som arbetar direkt med slutanvändaren allt oftare balansera olika krav och påverkan från flera avdelningar vid uppgraderingar av system. Slutgiltig beslutanderätt ligger fortfarande oftast hos ledande chefer som säkerhetschef (CISO), informationschef (CIO), teknikchef (CTO) eller fysisk säkerhetsavdelning, men många andra avdelningar har också inflytande i beslutsprocessen. Dessa inkluderar ofta hållbarhetsavdelningen (38 procent), fastighetsavdelningen (31 procent), inköp (28 procent) och it (21 procent).

Komplexitet i beslutsfattande

Den årliga rapporten ”State of Access Control” marknadsförs av både IFSEC Insider och HID. Rapporten är baserad på enkätsvar från organisationer över hela världen, från företag med färre än 100 anställda till de med över 1 000 anställda, och representerar sektorer som tillverkning och industri (16 procent), professionella tjänster (10 procent), offentlig sektor (10 procent), mjukvara och teknologi (8 procent), sjukvård (6 procent), detaljhandel (5 procent) och bankverksamhet (5 procent).

Respondenternas roller varierade också, vilket speglar komplexiteten i beslutsfattandet kring installation av fysiska säkerhetssystem och enheter. Säkerhetschefer och direktörer (21 procent) var de största respondentgrupperna, tätt följda av säkerhetsinstallatörer, ingenjörer, tekniker och integratörer (19 procent) samt säkerhetskonsulter och designers (16 procent). Sju procent av respondenterna kom från högsta ledningsnivån, med roller som CISO och CTO, och 7 procent identifierade sig som fastighetschefer och direktörer.

Äldre teknik – en säkerhetsrisk

En viktig indikator på framtiden för de som är ansvariga för säkerhetssystemen beslut om var att de flesta organisationer arbetar med passerkontrollteknik som är högst sex år gammal. Äldre system som är mer än sex år gamla, vilka kan utgöra en större säkerhetsrisk, utgör en mindre andel av marknaden (19 procent), men detta kan vara en underskattning då mer än 15 procent av respondenterna var osäkra på hur gamla deras organisationers system var.

Ytterligare resultat:

• 42 procent rapporterade att deras organisations passerkontrollsystem är mindre än tre år gamla.
• 14 procent angav att deras system var mer än sex år gamla.
• 54 procent planerar att uppgradera programvaran för åtkomstkontroll.
• 53 procent planerar att uppgradera läsare och behörigheter.
• 50 procent avser att uppgradera kontroller.

Krävs samverkan mellan de olika säkerhetsslagen

2024 års undersökning visar att för att säkerställa att uppgraderingar – eller förändringar i säkerhetssystem – lyckas krävs nära samarbete mellan fysisk säkerhet, cybersäkerhet och/eller IT-säkerhetsavdelningar. Nästan hälften (48 procent) av respondenterna uppgav att IT-avdelningen är ”fullt rådfrågad” när det gäller att uppgradera fysiska åtkomstkontrollsystem, trots att dess övergripande inflytande är mindre än för andra avdelningar.

Dessutom, när man identifierar vilka avdelningar som har auktoritet eller inflytande i beslutsfattande kring uppgraderingar, pekade över 70 procent av respondenterna på den fysiska säkerhetsavdelningen, medan endast 53 procent angav IT-avdelningen. Därefter kom fastighetsavdelningen (50 procent), informationssäkerhet (35 procent), inköp (27 procent) och högsta ledningen (24 procent). Femtiåtta procent uppgav att de arbetar med IT-avdelningen för att fastställa bästa säkerhetspraxis, medan 55 procent sa att de samarbetar med IT när de letar efter ny teknik.

Integreringen av cyber- och fysisk säkerhet

Resultaten från State of Access Control-rapporten speglar en växande trend där organisationer över flera branscher arbetar för att integrera fysisk säkerhet och cybersäkerhet.

– Denna utveckling har skett i takt med att fysiska säkerhetssystem gått från analoga, slutna system till IP-baserade nätverk och IP-anslutna enheter, kommenterar Jaroslav Barton.

Att förena dessa områden hjälper också till att mildra de växande hoten som följer med uppkopplade enheter, av vilka många nu är direkt kopplade till organisationens IT-nätverk, menar han vidare.

– De känsliga data som krävs för att säkert kontrollera accesser passerar genom flera komponenter, såsom behörigheter, läsare, kontroller, servrar, programklienter och liknande. Utan rätt skydd är dessa data mycket sårbara för angrepp och dataintrång med verkliga konsekvenser.

Stora risker med oberoende system

Förutom att det genomsnittliga dataintrånget kostade 4,45 miljoner dollar 2023 (en ökning med 15 procent sedan 2020), kan ett komprometterat passerkontrollsystem även möjliggöra att obehöriga får tillgång till skyddade områden, inaktiverar larm, ändrar behörigheter och stjäl företagsinformation.

– När fysisk säkerhet och cybersäkerhet fungerar oberoende av varandra blir det omöjligt att få en helhetssyn på informationssystemet. Detta försvårar arbetet med att identifiera och åtgärda säkerhetsbrister, vilket äventyrar konfidentialiteten, integriteten och tillgängligheten av accessdata, kommenterar Jaroslav Barton.

Strävan att hantera sårbarheter och ökade hotnivåer stämmer överens med rapportens resultat om att fler organisationer strävar efter att eliminera separeringen mellan fysisk och nätverkssäkerhet. Enligt Gartner planerar 41 procent av företagen att integrera delar av cyber- och fysisk säkerhet före 2025, en ökning med 10 procent sedan 2020.

Att eliminera silos för att minska risker

Dagens system för passerkontroll gör mer än att skydda mot inkräktare; de spelar även en central roll i skyddet mot aktörer som riktar in sig på organisationens data. För att effektivt säkra åtkomsten i den nuvarande miljön krävs inte bara att man utvärderar integriteten hos de individuella komponenterna i ett passerkontrollsystem, utan även hur den information dessa system samlar in färdas mellan komponenterna och var brister i skyddet kan göra data sårbara för avlyssning.

– Genom att samla expertis från alla avdelningar som påverkas av eller integrerar med åtkomstkontrollsystem är det möjligt att dra nytta av den djupa kunskap som krävs för att fullt ut skydda den känsliga personaloch anläggningsdata som behövs för att uppnå en optimal passerkontroll, konkluderar Jaroslav.