Как безопасно да изтриете данните от RFID карта на служител при напускане

Когато служител напусне компанията, RFID картата на бюрото му, в портфейла му или закачена за стария му бадж може да изглежда като дребен детайл. В действителност тази карта може да означава достъп до сградата, отчети за работно време, плащания в столова, разрешения за асансьор, вход за паркинг, вход в принтер, използване на шкафче и понякога достъп до ограничени производствени зони. Ако компанията третира картата просто като парче пластмаса и я прибере в чекмедже, процесът по освобождаване на служителя не е завършен. Безопасното премахване на данни от RFID карта е част от контрола на достъпа, защитата на личните данни и вътрешното управление на риска.

1. Разлика между данни в RFID картата и системни права

Първото важно нещо е, че изтриването на RFID карта на служител не е същото като премахването на служителя от системата за контрол на достъпа. В много съвременни системи самата карта съдържа само идентификатор, а реалните права се съхраняват в сървърната или контролерната база данни. В този случай най-спешната стъпка е деактивирането на баджа в софтуера за контрол на достъпа. Ако служителят напусне в петък в 17:00 ч., картата трябва незабавно да спре да отваря врати, дори физическият носител все още да не е върнат. Изчакването някой да намери време да изтрие картата е слаб процес.

В Arden Foods, измислена компания за преработка на храни, HR отделът веднъж прибрал RFID картата за достъп на производствен супервайзър и я поставил в плик за IT отдела. Картата обаче била деактивирана в системата чак на следващата сутрин. През този период тя все още имала достъп до служебния вход, съблекалнята и една зона за опаковане. Нищо лошо не се случило, но одитът ясно показал пропуска. Компанията променила своя чеклист за напускане, така че HR, охрана и IT да приемат системната деактивация като първа контролна мярка, а не като последна почистваща стъпка.

След като правата бъдат спрени, компанията може да реши какво да направи с физическата RFID карта. Някои карти могат безопасно да се използват повторно след изтриване или презаписване на данните. Други трябва да бъдат унищожени, защото са повредени, стари, несигурни или свързани с чувствителна роля. Някои карти, особено нискочестотните проксимити карти, може изобщо да не съхраняват много потребителски данни и само да предават фиксиран ID. Някои смарт карти, като MIFARE DESFire, MIFARE Plus, iCLASS или други защитени удостоверение технологии, могат да съдържат защитени приложни данни, диверсифицирани ключове или криптирани сектори. Безопасният процес зависи от това компанията да знае с какъв тип карта работи.

Честа грешка е да се приема, че всяка RFID карта може да бъде изтрита като USB памет. Обикновено RFID картите за контрол на достъпа не работят така. Много карти имат постоянен UID или сериен номер на чипа, който не може да бъде променен или изтрит. Някои области от паметта може да са само за четене. Някои приложения може да са заключени с ключове. Някои сектори може да са защитени от доставчика на системата за контрол на достъпа. Ако компанията не знае технологията на картата, по-безопасната формулировка не е „изтрий всичко“. По-правилната цел е да се спре достъпът, да се премахнат личните данни, когато това е възможно, да се нулира повторно използваемата памет, когато е разрешено, и да се провери, че картата вече не работи в активната система.

MapleGate Hospital, измислен регионален доставчик на здравни услуги, използвал RFID карти на служители за вход в сгради, достъп до помещения за лекарства, покупки в столова и защитен печат. Когато медицински сестри се прехвърляли или напускали, старите карти често попадали в кутия за повторна употреба. При преглед на поверителността болницата установила, че някои карти все още съдържат служебни номера, използвани от стара система за печат. Правата за достъп били премахнати от основната система за врати, но почистването на данните в картите било непълно. Болницата създала станция за извеждане от употреба на карти с оторизиран RFID енкодер, стандартен профил за презапис и финален тест на деактивиран четец за достъп, преди която и да е карта да се върне в наличност.

2. Поетапен процес за безопасно премахване на данни от RFID карта

Първо деактивирайте достъпа

За купувачи, които търсят решения за изтриване на RFID карти, практичният работен процес трябва да започне още преди картата да достигне до енкодера. Профилът на служителя трябва да бъде маркиран като неактивен в HR, контрола на достъпа, системата за работно време, управлението на посетители, паркинга и всички други свързани системи. Ако номерът на баджа присъства в няколко бази данни, всяка от тях трябва да бъде проверена. Много компании имат основна платформа за контрол на достъпа, но забравят по-малки системи, добавени по-късно. Система за шкафчета във фитнес зона, вендинг плащания или стар терминал за присъствие може да продължи да разпознава картата дори след премахване на основния достъп до сградата.

Coastal Freight терминал, измислен логистичен оператор, научил това по трудния начин. RFID баджът на напускащ координатор в склада бил деактивиран за главната бариера, но продължил да работи на малък четец към клетка за инструменти, инсталиран от отдела по поддръжка преди години. Системата за клетката не била свързана с централната база данни за достъп. След вътрешен преглед терминалът създал главен инвентарен списък на RFID картите, показващ всяка система, която приема карти на служители. Процесът по напускане станал с няколко минути по-бавен, но вече бил завършен.

Определете типа карта и данните в нея

Следващото решение е дали RFID картата съдържа лична информация. Някои по-стари системи записват директно в картата имена на служители, служебни номера, кодове на отдели или салда. Това може да е удобно, но създава рискове за поверителността и съответствието. По-добрият дизайн съхранява в картата само номер на карта или приложен удостоверение, а личната информация остава в защитена бекенд база данни. Ако лични данни са записани в картата, безопасното изтриване става още по-важно при напускане на служителя. Компанията трябва да презапише съответните блокове памет или приложни файлове чрез оторизиран софтуер и ключове, след което да прочете картата отново, за да потвърди, че старите данни са премахнати.

Ellison College, измислен частен кампус, използвал RFID карти за студенти и персонал за библиотека, достъп до общежития, планове за хранене и печат. На картите на служителите имало видимо отпечатано име, но паметта на картата съдържала и код за категория персонал и номер на отдел за стара интеграция с копирна система. Когато служители напускали, картите понякога се използвали повторно за временни изпълнители. Колежът се отказал от съхраняването на данни за отдели в картата и преминал към бекенд lookup модел. За съществуващите карти IT екипът използвал одобрена станция за кодиране, за да изчисти старите полета в паметта преди повторна употреба. Истинското подобрение не било само в изтриването на картите, а в намаляването на това, което трябва да бъде изтрито.

Поддържайте проследимост на предаването

Безопасният процес за премахване на данни от RFID карта на служител трябва да включва проследимост на предаването. Компанията трябва да записва кой е получил картата, кога е събрана, кой номер на карта е засегнат, дали системният достъп е деактивиран, дали паметта е изтрита, дали картата е използвана повторно или унищожена и кой е проверил резултата. Това може да звучи тежко за малък офис, но не е нужно да бъде сложно. Дори прост запис за напускане може да предотврати спорове по-късно. Ако лог на врата покаже стар ID на бадж след напускането на служителя, охраната трябва да знае дали картата е върната, преиздадена, копирана или никога не е била деактивирана правилно.

За компании, които използват защитени смарт карти, управлението на ключове е ключов въпрос. Ако картата използва защитени сектори или криптирани приложения, само оторизиран персонал трябва да притежава ключовете за четене, запис или изтриване на тези области. Споделени пароли, стар софтуер за енкодери и неконтролирани файлове с ключове са опасни. Хората, които могат да изтриват карти, често могат и да създават карти. Тази роля трябва да бъде ограничена и записвана. Сериозната система за управление на RFID карти трябва да поддържа потребителски права, записи за кодиране, защита на ключове и статус на жизнения цикъл на картата. Без това „изтриването на карта“ се превръща в ръчен навик, а не в контролиран процес.

Reka Electronics, измислен договорен производител, използвал RFID карти за достъп, за да раздели офис персонал, производствени оператори, инженерни лаборатории и зони за съхранение на прототипи. Първоначално компанията позволявала на трима IT техници да използват един и същ акаунт за енкодер на карти. При преглед на сигурността никой не можел да докаже кой е нулирал партида от стари карти. Компанията преминала към именни операторски акаунти, съхранила ключовете за карти в защитена среда и изискала системата да записва всяко изтриване и преиздаване на карта. Процесът станал по-отчетен, а екипът по покупки по-късно използвал тези изисквания при оценка на нов софтуер за RFID енкодер за карти.

3. Повторна употреба или унищожаване: правилното решение

Има разлика между изтриване на карта за повторна употреба и извеждане на карта от употреба за унищожаване. Повторната употреба има смисъл, когато картата е физически здрава, технологията все още е сигурна, паметта може да бъде нулирана и картата не е свързана с чувствителен инцидент. Унищожаването има смисъл, когато картата е спукана, нечетима, подозирана за злоупотреба, използвана за привилегирован достъп или базирана на остаряла слаба технология. Карта, назначена на високорискова роля, например достъп до сървърно помещение или финансов трезор, може да е по-добре да бъде унищожена, вместо използвана повторно, дори ако паметта технически може да бъде изтрита. Цената на нова карта обикновено е малка в сравнение с цената на небрежна история за контрол на достъпа.

Northstar Labs, измислена изследователска компания, имала политика обикновените офис карти да се използват повторно след проверено изтриване, но картите за лабораторен достъп да се нарязват след напускане на служителя. Причината била проста. Лабораторните карти били свързани с ограничени изследователски зони и контролирани материали. Мениджърът по сигурността не искал стари лабораторни удостоверения да циркулират, дори като празни карти. Политиката изглеждала консервативна, но отговаряла на риска. За доставчици на RFID карти и интегратори на контрол на достъпа това е важен урок: правилото за жизнения цикъл зависи от ролята, а не само от типа карта.

Когато картата е върната и компанията планира да я изтрие, техническият процес трябва да използва само оторизирани инструменти. Картата трябва да бъде прочетена чрез съвместим RFID четец. Операторът трябва да потвърди UID на картата, номера на картата и свързания служебен запис. Системата трябва да премахне или презапише потребителски данни според одобрения шаблон. Ако картата поддържа защитени приложения, системата може да изтрие приложни файлове, да нулира стойности, да смени ключове или да реинициализира картата в зависимост от платформата. След това картата трябва да бъде тествана срещу RFID четец за контрол на достъпа и потвърдена като неактивна или празна. Карта не трябва да се връща в инвентара само защото енкодерът е показал съобщение за успех. Тя трябва да бъде проверена.

Riverton Grand Hotel, измислена хотелска група, използвал RFID карти на персонала за врати на камериерки, служебни асансьори, складови помещения и присъствие. Хотелът имал навик бързо да използва повторно служебни карти заради високото текучество. Нов служител в housekeeping веднъж получил карта, която все още имала достъп до склад за бельо, назначен към предишна супервайзърска роля. Хотелът променил работния процес, така че всяка върната карта да минава през три проверки: спиране на старата асоциация, нулиране на данните в картата и издаване на нов профил за достъп от нулата. Допълнителната стъпка предотвратила пренасянето на стари права с повторно използван бадж.

Някои компании питат дали трябва да изтрият картата, преди да я деактивират в софтуера. По-безопасният отговор е не. Първо деактивирайте достъпа. Картата може да е изгубена, да не е върната или да се забави между HR и IT. Backend деактивацията защитава организацията дори когато физическата карта не е налична. Изтриването на върнатата карта е почистване и контрол на поверителността. То е важно, но не трябва да бъде единствената мярка. Добър RFID процес при напускане на служител приема, че картата може да не се върне навреме.

За карти, които никога не са върнати, процесът е различен. ID на баджа трябва незабавно да бъде деактивиран и маркиран като изгубен или невърнат. Номерът на картата не трябва да се преназначава небрежно, освен ако системата за контрол на достъпа и технологията на картата са проектирани за безопасно преиздаване. Ако има притеснение за копиране, компанията може да трябва да прегледа логове, да засили наблюдението или да мигрира към по-силна удостоверение технология. Това е особено важно при по-стари нискочестотни проксимити карти, при които рискът от клониране е по-висок, отколкото при модерни криптирани смарт карти. Безопасното управление на карти не е само изтриване на върнати карти. То е предотвратяване на това стари удостоверение ID да останат полезни.

Paxon Rail Services, измислен изпълнител по поддръжка, издавал RFID карти на служители, работещи в депа и клиентски железопътни обекти. Когато техници напускали, някои карти се връщали късно, защото били оставени в чанти с инструменти. Компанията актуализирала процедурата си за напускане така, че ID на картата да се деактивира в последния работен ден на служителя, независимо дали баджът е физически наличен. Върнатите карти от полеви служители не се използвали автоматично повторно; те били инспектирани, изтривани при поддръжка на такава функция и проверявани срещу няколко системи за достъп в депата. Процесът спасил компанията от зависимостта от идеално поведение при връщане на карти.

Повърхността на картата също заслужава внимание. Изтриването на данните в чипа не премахва отпечатаната лична информация. Име на служител, снимка, служебен номер, отдел, QR код, баркод или видимо ниво на достъп може все още да присъства върху картата. Ако картата ще се използва повторно, отпечатаните идентификационни данни трябва да бъдат премахнати, сигурно покрити или картата трябва да бъде унищожена. В много случаи персонализирана RFID карта с отпечатана снимка не си струва да се използва повторно. Повторната употреба е по-практична за обикновени карти, временни баджове, посетителски баджове или карти, проектирани със сменяеми печатни наслагвания. Защитата на поверителността включва както чипа, така и повърхността.

Halley Manufacturing, измислен доставчик на автомобилни компоненти, използвал снимки на служители и кодове на отдели, отпечатани върху RFID карти. Когато старите карти били събрани, данните за достъп били деактивирани, но картите били държани в чекмедже за евентуална повторна употреба. При клиентски одит чекмеджето било третирано като слабост в поверителността, защото съдържало имена и снимки на бивши служители. Компанията променила политиката си. Фото ID картите се унищожавали след напускане, а обикновените карти за изпълнители можели да се изтриват и използват повторно. Тази разделена политика имала повече смисъл от опита всяка карта да се използва отново.

4. Изграждане на сигурен жизнен цикъл на RFID картите

От гледна точка на снабдяването компаниите, които купуват RFID карти или карти за контрол на достъпа, трябва да задават въпроси за жизнения цикъл още преди поръчката. Може ли паметта на картата да бъде сигурно презаписана? Поддържа ли системата статуси на карта като активна, неактивна, изгубена, изтрита, изведена от употреба и унищожена? Може ли енкодерът да създава audit log? Предоставя ли доставчикът ясни инструкции за премахване на данни от MIFARE DESFire карта, нулиране на сектор при MIFARE Classic или други поддържани удостоверение формати? Избягват ли се default keys? Може ли личната информация да се съхранява в бекенд, вместо в картата? Тези въпроси не са само технически. Те влияят върху HR, сигурността, поверителността и бъдещите оперативни разходи.

Най-често срещаният лош процес е „кутията със стари баджове“. Почти всеки facility manager я е виждал. Карти на бивши служители стоят в чекмедже, охранителен офис, шкаф на рецепция или IT рафт. Някои са деактивирани. Някои не са. Някои имат имена. Някои са празни. Някои принадлежат на изпълнители отпреди две години. Никой не иска да ги сортира, защото никой не е сигурен кои системи все още ги разпознават. Правилната политика за жизнен цикъл на RFID картите не позволява тази кутия да се превърне в риск. Всяка карта има статус. Всяка върната карта се обработва. Всяка унищожена карта се записва. Всяка карта за повторна употреба се нулира, преди да бъде издадена отново.

Безопасното изтриване помага и за вътрешното доверие. Служителите искат да знаят, че когато напуснат, личните им данни се обработват правилно. Работодателите искат да знаят, че бивш персонал не може да влиза в обектите. Екипите по сигурността искат логове, които подкрепят разследвания. IT екипите искат инвентар на карти, който съвпада със системните записи. Чистият процес оставя по-малко отворени въпроси за всички. Той също така помага на компаниите да изглеждат по-зрели при клиентски одити, ISO прегледи, оценки на поверителността и проверки на сигурността.

Най-добрият подход е прост като принцип. Деактивирайте достъпа на служителя във всички свързани системи веднага щом трудовото правоотношение приключи. Съберете RFID картата, ако е възможно. Определете типа карта и свързания запис. Премахнете или презапишете потребителските данни чрез оторизирани инструменти и ключове. Проверете, че картата вече не отваря врати и не задейства стари права. Решете дали картата трябва да се използва повторно или да бъде унищожена според риска, състоянието и поверителността. Запишете действието. Не дръжте необработени карти в чекмедже. Не приемайте, че картата е безопасна само защото е върната физически.

RFID картите са малки, но стоят на пресечната точка между физическата сигурност, идентичността на служителите и оперативното удобство. Когато служител напусне, безопасното изтриване на картата не е просто техническа стъпка. То показва, че компанията разбира контрола на достъпа като жизнен цикъл, а не като еднократно издаване на бадж. Добре управляваният процес за RFID карти на служители защитава врати, данни, хора и записи. Той също така предотвратява много често срещана грешка: убеждението, че картата е безвредна, след като служителят излезе. Картата може да бъде неактивна, изтрита, използвана повторно или унищожена, но никога не трябва да бъде пренебрегвана.