Vydání a vrácení klíčenky RFID: Pracovní postup řízení přístupu na více míst{0}}

Dávka RFID klíčenek může projít čtecím testem dodavatele a přesto se v den vydání stane provozním problémem. Tým zařízení může mít správná pověření, ale žádný spolehlivý záznam o tom, která kancelář je obdržela, který zaměstnanec je má, které číslo kontrolor rozpozná nebo zda nahlášená-ztracená karta byla skutečně deaktivována.

Pro řízení přístupu na více{0}}stránek je praktickým úkolem připojenífyzické zásoby, elektronická identita, jmenovaný držitel, schválený přístupový profil a zaznamenaný stav životního cyklu. Systém musí udržovat tyto vztahy přesné, když je FOB vydán, převeden, vrácen, ztracen nebo nahrazen. Toto je provozní postup pro týmy pro přístup do kanceláří, kampusů a dodavatelů,-nejedná se o porovnání čipů s přívěsky nebo průvodce nákupem dodavatele.

 

 

One Fob, Five Different Records

Začněte tím, že oddělíte položky, které zaměstnanci často spojují, do jednoho sloupce tabulky s názvem „číslo karty“.

Číslo vytištěné na přívěsku může být vhodnou referencí inventáře, nikoli jeho skutečná{0}}hodnota pověření na straně čtenáře. V závislosti na nainstalované platformě může být zahrnut kód zařízení, číslo karty, hexadecimální reprezentace nebo proprietární kódování. Syntek'svysvětlení, jak fungují klíčenky-k ovládání přístupuvlastní tuto otázku technické kompatibility; pracovní postup zde předpokládá, že kompatibilní pověření již bylo schváleno.

 

 

Samostatné předání továrny od registrace místa

Jsou dvě předání. Nejprve kupující akceptuje fyzickou dodávku oproti specifikaci schváleného dodavatele. Poté oprávněný administrátor zaregistruje nebo aktivuje přihlašovací údaje pro skutečného držitele v systému řízení přístupu-. Vyplnění jednoho nesvědčí o druhém.

Předávací soubor dodavatele může přiměřeně obsahovat odkaz na šarži, pořadí položek, vytištěné číslo, schválený elektronický identifikátor nebo formát, místo určení balení/místa a kvalitu. Dodavatel obecně nepotřebuje úplný seznam zaměstnanců ani historii oprávnění. Organizace může namapovat doručené pověření k držiteli později ve svém vlastním systému řízeného přístupu.

Pro zavádění na více{0}}webech nominujte jednoho vlastníka jmenného prostoru číslování/identity. Dvě umístění objednaná samostatně by neměla náhodně způsobit kolize pověření nebo přijímat překrývající se rozsahy, pokud tyto rozsahy musí být ve sdíleném systému jedinečné. Dodavatel přístupového-systému nebo integrátor musí definovat skutečnou hranici jedinečnosti.

 

 

Přijměte zásilku jako kontrolovaný sklad

Příjem by měl poskytnout zdokumentovanou odpověď na čtyři otázky: co bylo dodáno, jaké elektronické identifikátory jsou přítomny, které místo je odpovědné za zásoby a které jednotky nejsou k dispozici pro vydání.

U každé dodávky nebo dílčí-dávky zkontrolujte:

• Množství a skupina:kartony, pytle a přidělení místa odpovídají záznamu o balení.
• Integrita reference:viditelná čísla nebo štítky odpovídají schválenému mapovému souboru, je-li k dispozici.
• Elektronická odpověď:reprezentativní nebo specifikované jednotky lze identifikovat pomocí aktuálně přijatého pracovního postupu čtečky/kódování.
• Jedinečnost:porovnání na{0}}úrovni dat nenajde žádné duplikáty ve jmenném prostoru, který vyžaduje jedinečné aktivní přihlašovací údaje.
• Výjimky:poškozené, nečitelné, duplikované nebo nerozpoznané jednotky jsou umístěny do karantény místo toho, aby byly přidány do dostupných zásob.

Úrovně odběru vzorků a limity přijatelnosti patří do dohodnuté specifikace kupujícího; ani obecné procento, ani pípnutí čtenáře není dostatečným důkazem pro každý projekt.

 

 

Přidělte každému webu správce akcií a hranici pro usmíření

Jeden centrální tým může nakupovat všechny fobs, zatímco jednotlivé kanceláře je vydávají. Toto uspořádání vyžaduje spíše explicitní záznamy o úschově než jediný celkový inventář.

Jednoduchý skladový model rozlišuje:

• Centrální nealokované zásoby:použitelné jednotky dosud nepřiřazené k lokalitě.
• Na skladě k dispozici:použitelné jednotky fyzicky držené jmenovaným správcem.
• Rezervované zásoby:jednotky vyčleněné pro schválenou žádost, ale nepředané.
• Vydané zásoby:fyzické pověření předané držitelům a sledované v přístupovém systému.
• Karanténa nebo vyřazené zásoby:poškozené, nejednoznačné, obnovené-ztracené nebo jinak-nevydatné jednotky.

Převody mezi kancelářemi by měly být zaznamenány jako dvě propojené události: propuštění z místa odeslání a přijetí na místo určení. Zásilka v tranzitu by neměla vypadat jako dostupná na obou místech.

 

 

Vystavte Fob pouze po schválení identity a přístupu

Cílem vydání je prokázat, že konkrétní fyzické pověření bylo předáno správné osobě a povoleno se správnými oprávněními. Normální pořadí je:

1. Potvrďte totožnost držitele a oprávněný požadavek nebo sponzora.
2. Vyberte dostupný,-v karanténě FOB ze správného inventáře webu.
3. Přečtěte si nebo ověřte elektronický identifikátor pověření pomocí schválené čtečky/nástroje.
4. Přiřaďte toto pověření držiteli v systému{0}}kontroly přístupu.
5. Použít schválené místo, skupinu dveří, plán a pravidla vypršení platnosti; vyvarujte se kopírování širokých oprávnění od předchozího držitele.
6. Otestujte povolený přístup a tam, kde je to možné, podmínku -odepření přístupu zástupce.
7. Zaznamenejte fyzické předání, vystavujícího operátora, potvrzení držitele a skutečný stav.

Když je registrace softwaru centralizovaná, správce webu nemusí mít oprávnění vytvářet oprávnění. V takovém případě by pracovní postup měl vyžadovat potvrzení autorizace před fyzickým uvolněním přívěsku.

 

 

Používejte profil přístupu-specifický pro stránky, nikoli implicitní globální oprávnění

Pověření pro více{0}}stránek mohou čtenáři rozpoznat na několika místech, aniž by měli oprávnění otevřít všechny dveře. Uznání a autorizace zůstávají samostatnými rozhodnutími.

Definujte profily, jako je zaměstnanec webu A, dodavatel webu B, údržba po-pracovní době nebo dočasný návštěvník, ale považujte je spíše za příklady než za univerzální nastavení. Každý profil potřebuje vlastníka schválení, povolené dveře, plán, podmínku vypršení platnosti a pravidlo kontroly. Dodavatelé mohou požadovat sponzora a časový limit; stálí zaměstnanci mohou následovat schválení oddělení.

NIST SP 800-53 PE-2vyžaduje udržování seznamů autorizovaných{0}}přístupů, vydávání přihlašovacích údajů, kontrolu přístupu a odebírání lidí, když již přístup není vyžadován. Toto je užitečný kontrolní rámec, nikoli tvrzení, že každá malá kancelář musí zavést konkrétní certifikační program NIST.

 

 

Vědět, co zaznamenat při každém předání

Užitečný protokol operací-pověřovacích údajů je založen na události. Mělo by auditorovi sdělit, co se změnilo, kdo to schválil, kdo to provedl, jakého FOB se to týkalo a zda byla změna ověřena.

Neumisťujte zbytečné citlivé údaje o identitě do tabulky dodavatele ani je netiskněte na shell. Přístupové protokoly a osobní údaje by se měly řídit zásadami ochrany soukromí, uchovávání a{1}}kontroly přístupu organizace.

 

 

Ohlášený-ztracený přívěsek spustí dvě akce

Když držitel nahlásí chybějící přívěsek, je první prioritou deaktivovat jeho oprávnění-nečekat na náhradní zásilku. Druhým je aktualizace fyzických zásob a záznamů o incidentech.

Praktickým ztraceným{0}}procesem je ověření hlášení, identifikace přesných pověření, pozastavení nebo odvolání prostřednictvím platformy pro řízení přístupu-, potvrzení změny šířené na dotčené weby, zdokumentování incidentu a poté vydání nových pověření pod samostatným odkazem.Pokyny pro podporu pověření HIDpodobně nařídí operátorům, aby deaktivovali chybějící pověření a přiřadili náhradní.

Některé přístupové instalace mají oprávnění mezipaměti ve čtečkách nebo řadičích, fungují offline nebo se synchronizují mezi servery. V takových případech se centrální stav „vypnuto“ nemusí okamžitě ukázat jako zamítnutí u všech dveří. Integrátor musí definovat chování šíření a metodu ověření. Pokud to systém umožňuje, otestujte zrušené pověření na reprezentativním kontrolovaném vstupním místě; jinak zkontrolujte stav podporovaného ovladače nebo protokoly.

 

 

Vráceno není totéž jako Zakázáno

Zaměstnanec může umístit přívěsek na recepci, zatímco databáze řízení přístupu- jej stále považuje za aktivní. Může se také stát opak: odvolaný přívěsek fyzicky chybí.

Udržujte tyto dva rozměry oddělené:

Nikdy nepředpokládejte, že smazáním záznamu osoby se automaticky změní aktuální stav přístupu každého správce nebo čtenáře. Ověřte v porovnání s chováním skutečné platformy.

 

 

Rozhodněte, zda lze vrácené přívěsky znovu vydat

Opětovné použití neporušených přívěsků může mít smysl pro řízené operace s nízkým{0}}třením, ale jedná se o systémové-zásady. Starší LF Fob pouze pro čtení- může obsahovat neměnný identifikátor; operátor může změnit přiřazení svého přístupu-systému bez změny čipu, pokud software tento pracovní postup podporuje. V inteligentním systému pověření mohou chráněná data aplikací, personalizace a klíče zkomplikovat nebo zakázat změnu přiřazení.

Před opětovným vydáním odeberte původnímu držiteli přístup, zkontrolujte a přečtěte si přívěsek, zkontrolujte jeho stav napříč propojenými systémy, vymažte nebo překonfigurujte data konkrétní aplikace, pouze pokud jsou podporována a autorizována, vytvořte nové přidružení a proveďte test přístupu od konce{1}}do{2}}ukončit. Pokud je staré pověření spojeno s bezpečnostním incidentem, mohou zásady organizace místo toho vyžadovat trvalé vyřazení.

Opětovné vydání by nikdy nemělo být popisováno jako „resetování UID“. Mnoho přihlašovacích údajů má -nepřepisovatelné identifikátory; k provozní změně může dojít pouze v databázi regulátoru.

 

 

Offboarding musí uzavřít oprávnění každého webu

Když uživatel opustí organizaci nebo skončí přidělení dodavatele, vlastník systému musí odebrat jeho oprávnění, i když FOB není fyzicky obnoven. Pro více{1}}místní zařízení stačí jedno zapomenuté místo nebo nezávislý správce, aby zůstala přístupová mezera.

Dejte úkolu offboarding odpovědného vlastníka. Potvrďte aktivní přihlašovací údaje držitele, deaktivujte všechna příslušná přiřazení přístupu, srovnejte fyzické vratky, zaznamenejte chybějící položky a žádost zavřete až po dokončení předepsaných kontrol. Pokud má osoba fyzické i mobilní přihlašovací údaje, zacházejte s nimi jako se samostatnými záznamy pověření, pokud platforma nezdokumentuje jednotné chování při zrušení.

HIDdokumentaci{0}}pro správu pověřeníilustruje, proč jsou nahrazení, ukončení a stav pověření explicitními operacemi životního cyklu v systémech spravovaných identit. Konkrétní funkce dostupné pro běžné nasazení přístupu k budovám LF nebo HF- stále závisí na jejich vlastním softwaru.

 

 

Sladit fyzické zásoby s aktivními přihlašovacími údaji

Pravidelný audit by měl porovnávat alespoň tři zdroje:-držené zásoby webu, registr přiřazení a aktivní seznam pověření-systému kontroly přístupu. Užitečný výstup není jen „400 klíčenek po ruce“; je to seznam výjimek, které vyžadují akci.

Hledejte aktivní přihlašovací údaje bez schváleného držitele, ukončenou osobu s přetrvávajícím přístupem, fob zaznamenaný jako vrácený, ale stále povolený, duplicitní aktivní mapování tam, kde je to zakázáno, chybějící inventář místa, nepoužité zásoby náhodně zaregistrované a převody, které nikdy neobdržely potvrzení o cíli.

Nastavte frekvenci kontrol a lhůty pro odezvu z obchodního rizika. Weby s vysokým-obrátkovým dodavatelem mohou vyžadovat častější kontroly než malá kancelář se stabilním personálem. Plošný měsíční nebo čtvrtletní plán nemůže nahradit dohodnutou politiku.

 

 

Pilotujte celý životní cyklus před uvedením na trh

Použijte reprezentativní přihlašovací údaje, alespoň dvě konfigurace webu, pokud projekt zahrnuje různé přístupové systémy, a testovací případy, které provádějí přechody, místo toho, abyste čtenáři pouze prezentovali nový fob.

Označte selhání vlastníkem a požadavkem opakování testu. Tovární kontrola dodavatele může prokázat odezvu štítku a správná data, ale nemůže nahradit testování skutečného pracovního postupu organizace pro registraci a povolení.

 

 

Požádejte dodavatele o čisté předání, nikoli o databázi zaměstnanců

Při uvádění do provozu hromadných klíčenek RFID by specifikace nákupu měla identifikovat schválenou technologii čipu/pověřovacích údajů, referenci na kompatibilitu čtečky, očekávaný formát elektronických dat, viditelné pravidlo číslování, jedinečný{0}}požadavek na rozsah nebo mapování, balení/seskupení stránek, proces schvalování vzorků- a potřeby ověření příchozích zpráv.

Provozovatel webu by měl samostatně kontrolovat identitu zaměstnanců, oprávnění, schválení vydání, ztracené{0}}odpovědi na FOB a protokoly auditu. Pokud je dodavatel požádán o před-zakódování nebo před{3}}číslo, dohodněte se přesně, která pole potřebuje a jak se budou řešit nesrovnalosti. Syntek'sprůvodce kompatibilitou bezdotykových klíčenekpokrývá předřazené technické rozhodnutí o nákupu, zatímco jehoKategorie produktů RFID klíčenkyzůstává komerčním vlastníkem fyzického získávání pověření.

 

 

Kontrolním bodem je přiřazení, nikoli kroužek na klíče

Operace s klíčenkami pro více webů se snáze spravují, když jeden řetězec zůstane auditovatelný:

schválené pověření → přijaté zásoby → úschova místa → ověřený držitel → profil autorizovaného přístupu → událost životního cyklu → potvrzení systému → odsouhlasení zásob.

Klíčenka, která správně skenuje, je jen začátek. Vydání je dokončeno, když je zaznamenán a ověřen jeho fyzický držitel a elektronická oprávnění; vrácení, výměna a vyřazení jsou dokončeny, když byly odsouhlaseny jak autorita pověření, tak fyzický skladový záznam.