Hvem eier nøklene til adgangskortene deres?
De fleste virksomheter vet hvem som har nøkkelen til hovedinngangen, men færre vet hvem som har de digitale nøklene i adgangskortene. Det kan fort bli et problem når leverandøren byttes ut, den ansvarlige slutter eller noe går galt.
Et moderne adgangskort er mer enn et plastkort med et nummer. Kort med MIFARE DESFire eller MIFARE Classic er beskyttet med kryptografiske nøkler. Det er disse nøklene som avgjør hvem som kan lese, skrive og kopiere informasjonen på kortet. Sammen med oppsettet av data på kortet utgjør de virksomhetens RFID-format.
Formatet er altså selve grunnmuren i adgangskontrollen. Den som har nøklene, kan i praksis lage nye kort som leserne deres godtar.
Et spørsmål få kan svare på
Spør man en virksomhet hvem som eier og forvalter RFID-formatet deres, blir det ofte stille. Kanskje var det installatøren som satte det opp for ti år siden. Kanskje ligger nøklene hos en kortleverandør, eller hos en IT-ansatt som har sluttet. Ofte er ansvaret aldri formelt plassert.
Det fungerer helt til dere trenger nøklene. Det kan være ved bytte av leverandør av adgangskontroll, ved overgang til nye lesere eller mobil ID, eller når nye kort skal produseres et annet sted. Da kan det bli både kostbart og tidkrevende å rekonstruere det som aldri ble dokumentert.
Like viktig som andre sikkerhetsrutiner
Med NIS2 og økte krav til informasjonssikkerhet forventes det at virksomheter har kontroll på kritiske verdier i sikkerhetsløsningene sine. Nøklene til adgangskortene hører med der. Hvis feil person får dem utlevert, kan det gi uautorisert tilgang til bygg og arealer.
Fem råd for god forvaltning
Avklar eierskapet. Formatet og nøklene bør være virksomhetens, ikke leverandørens. Sørg for at det står i avtalen.
Utpek ansvarlige. Ha navngitte personer som er formatansvarlige, gjerne to, slik at ansvaret ikke står og faller på én person.
Lag en fast rutine for utlevering. Bestem på forhånd hvem som kan be om nøkler eller formatinformasjon, og hvordan det skal godkjennes.
Dokumenter formatet. Hold oversikt over korttyper, applikasjoner og hvilke systemer som bruker kortet.
Se på teknologien. MIFARE Classic har kjente svakheter. Står dere foran en utskifting, er MIFARE DESFire EV3 et tryggere valg, og overgangen kan gjøres gradvis med kort som har flere teknologier.
Slik gjør vi det i Sotera
Vi forvalter RFID-formater for mange kunder og partnere, og vi har derfor laget en fast ordning for dette. Kunden utpeker to formatansvarlige, og nøkler eller formatinformasjon blir bare utlevert etter forespørsel fra dem. Det gir trygghet for at formatet forblir kundens, og for at ingen nøkler kommer på avveie.
Er dere usikre på hvem som har nøklene til adgangskortene deres? Ta kontakt med oss, så hjelper vi dere med å få oversikten.