Att avgöra om någon ska ges tillträde till ett område innebär att känsliga data färdas genom flera olika komponenter – från behörighetsuppgifter (till exempel kort, taggar, mobilt ID) till kortläsare, styrenheter, servrar, programvaruklienter med mer. Om inte hela denna kedja är skyddad blir den sårbar för attacker och dataintrång.

– Dessutom kan attacker få allvarliga konsekvenser – utöver de hissnande kostnader som förknippas med dataintrång, kommenterar Steven Commander, Head of Consultant Relations på HID, som är en världsledande inom identitetslösningar och kortteknologi för passerkontroll

– När angripare har komprometterat ditt passerkontrollsystem kan de få tillgång till begränsade områden, stänga av larm, ändra behörigheter och stjäla företagshemligheter.

Helhetsbild viktigt

Att skydda accessdatan innebär att säkerställa dess konfidentialitet, integritet och tillgänglighet.

– Men eftersom många organisationer behandlar fysisk säkerhet och cybersäkerhet som separata områden, saknar de ofta en helhetsbild av informationssystemet. Det gör det svårare att identifiera sårbarheter, poängterar Steven Commander.

Många utmaningar

Även om medvetenheten ökar, råder det fortfarande mycket förvirring kring vad det faktiskt innebär att stärka cybersäkerheten i passerkontrollsystem. Standarder har utvecklats, liksom certifieringar som NIST 800-53 eller TÜVIT. Dessa är välkomna framsteg, men de räcker inte för att hantera hela problemets omfattning, enligt Steven Commander.

– Att säkra passersystem handlar om mer än att bara granska enskilda komponenters integritet. Det handlar om att analysera hur informationen färdas mellan komponenter och var risker kan uppstå. Hur provisioneras känslig information om anställdas identiteter och behörigheter på korten? Hur lagras och hanteras den?

– Att bedöma dessa risker kräver djup kunskap inom områden som operativsystem, Active Directory och databaser, samt grundläggande förståelse för krypteringsprotokoll och algoritmer. Det kräver alltså nära samarbete mellan olika team och interna experter, fastslår Steven Commander.

Prioriterad cybersäkerhet

Hur kan då cybersäkerheten i passerkontrollsystem säkerställas?

– I korthet beror resan på miljön och sker oftast stegvis. Hos HID rekommenderar vi en ”good, better, best-modell” som börjar med att etablera en grundnivå innan man går vidare med förbättringar och uppgraderingar.

Säkerhetsåtgärder

Här följer exempel på hur det kan se ut för olika delar av ett passerkontrollsystem:

• Behörighetsuppgifter (kort, taggar, mobilt ID etc)

Syfte: Att lagra passerkontrollinformation på ett säkert sätt

Grundnivå: Använd kort med 13,56 MHz-teknik. Data som lagras på kortet ska skyddas med kryptering (AES 128 är bästa praxis). Samma gäller data som överförs mellan kort och läsare under autentisering.

Förbättring: Inför policyer för nyckelhantering. Välj lösningar som är penetrationstestade och tredjepartscertifierade.

• Läsare

Syfte: Att bearbeta behörighetsuppgifter och skicka dem till en styrenhet.

Grundnivå: Använd läsare som stöder 13,56 MHz och har ett säkert element för lagring av krypteringsnycklar.

Förbättring: Välj lösningar som erbjuder en säker kommunikationskanal mellan läsare och styrenhet. Hantera uppdateringar och uppgraderingar via auktoriserade underhållsprogram, inte via konfigurationskort.

• Styrenheter

Syfte: Att kommunicera med läsare och kort för att avgöra om användaren har tillräcklig behörighet för tillträde.

Grundnivå: Installera styrenheter i en säker, manipulationssäkert kapsling. Anslut dem till ett dedikerat och säkert VLAN och inaktivera alla andra gränssnitt (till exempel USB och SD). Ta bort standardkonfigurationer och se till att firmware och patchar alltid är uppdaterade.

Förbättring: Tillåt endast godkända IP-adresser att ansluta till styrenheten, och använd kryptering för att skydda data – både vid vila och under överföring.

• Servrar och klienter

Syfte: Fungerar som passerkontrollsystemets huvuddatabas och administrationskonsol – registrerar aktiviteter samt möjliggör ändringar och justeringar.

Grundnivå: Kör servrar och klienter på ett dedikerat, säkert VLAN. Välj lösningar som erbjuder transparent rapportering av CVE (Common Vulnerabilities and Exposures) och som följer Secure Software Development Lifecycle (SDLC)-standarder, såsom ISA/ IEC 62443-4-1. Se till att både mjukvara och operativsystem hålls uppdaterade.

Förbättring: Kryptera data både i vila och under överföring, och använd egna TLS-certifikat.

Följ bästa praxis

Även med etablerade protokoll är det viktigt att följa bästa praxis och tillverkarens rekommendationer – små misstag vid implementering kan få stora konsekvenser.

– I slutändan måste passerkontrollarkitekturen passa sömlöst in i organisationens övergripande nätverks- och IT-arkitektur, säger Steven Commander som avslutningsvis också framhåller att säkring av passerkontrollsystemet inte bara medför riskminimering, utan också kan bidra till ökad driftseffektivitet.