Издавање и враћање РФИД кључева: ток рада контроле приступа на више локација

Серија РФИД привезака за кључеве може проћи тест читања добављача и и даље постати оперативни проблем на дан када је издата. Тим објеката може имати исправне акредитиве, али не и поуздану евиденцију о томе која канцеларија их је примила, који запослени их има, који број контролор препознаје или да ли је пријављени-изгубљени фоб заправо онемогућен.

За контролу приступа више{0}} локација, практичан задатак је повезивањефизичка залиха, електронски идентитет, именовани носилац, одобрени приступни профил и забележен статус животног циклуса. Систем мора одржавати те односе тачним када се фоб изда, пренесе, врати, изгуби или замени. Ово је оперативни поступак за тимове за приступ канцеларији, кампусу и извођачима-а не поређење чипова за фоб или водич за куповину добављача.

 

 

Један фоб, пет различитих плоча

Почните тако што ћете одвојити ставке које особље често комбинује у једну колону табеле под називом „број картице“.

Број одштампан на фоб-у може да буде згодна референца за инвентар, а не његова стварна вредност акредитива{0}}на страни читаоца. Код објекта, број картице, хексадецимални приказ или власнички кодирање могу бити укључени у зависности од инсталиране платформе. Синтек'собјашњење како функционишу привезци за{0}}контролу приступапоседује то питање техничке компатибилности; ток посла овде претпоставља да је компатибилан акредитив већ одобрен.

 

 

Одвојите примопредају фабрике од пријаве на локацију

Постоје два примопредаја. Прво купац прихвата физичку испоруку према одобреној спецификацији добављача. Затим овлашћени администратор уписује или активира акредитиве за правог власника у систему-контроле приступа. Испуњавање једног не доказује друго.

Датотека примопредаје добављача може разумно да садржи референцу серије, редослед артикла, одштампани број, одобрени електронски идентификатор или формат, одредиште паковања/локације и распоред квалитета. Добављачу генерално није потребан комплетан списак запослених или историја дозвола. Организација може касније да мапира испоручени акредитив носиоцу, унутар сопственог система контролисаног приступа.

За увођење{0}}више сајтова, номинујте једног власника именског простора за нумерисање/идентитет. Две локације које се наручују одвојено не би требало случајно да створе колизије акредитива или да приме опсеге који се преклапају ако ти опсези морају бити јединствени у дељеном систему. Приступ{3}}Продавац или интегратор система мора да дефинише стварну границу јединствености.

 

 

Примите пошиљку као контролисане залихе

Пријем би требало да произведе документовани одговор на четири питања: шта је испоручено, који електронски идентификатори су присутни, која локација је одговорна за залихе и које јединице су недоступне за издавање.

За сваку испоруку или под{0}}серију проверите:

• Количина и група:картони, кесе и додела места одговарају евиденцији паковања.
• Референтни интегритет:видљиви бројеви или ознаке одговарају одобреној датотеци за мапирање тамо где је наведено.
• Електронски одговор:репрезентативне или одређене јединице могу се идентификовати коришћењем стварно прихваћеног тока рада читача/кодирања.
• Јединственост:поређење{0}}нивоа података не проналази дупликате у простору имена који захтева јединствене активне акредитиве.
• Изузеци:оштећене, нечитљиве, дуплиране или непрепознате јединице се стављају у карантин уместо да се додају доступним залихама.

Нивои узорковања и прагови прихватања спадају у договорену спецификацију купца; ни генерички проценат ни звучни сигнал читача нису довољан доказ за сваки пројекат.

 

 

Дајте сваком сајту чувара залиха и границу помирења

Један централни тим може купити све фобове док их издају појединачне канцеларије. За тај аранжман је потребна експлицитна евиденција о старатељству, а не један укупни инвентар.

Једноставан модел залиха разликује:

• Централна нераспоређена акција:употребљиве јединице које још нису додељене локацији.
• Доступне залихе на сајту:употребљиве јединице које физички држи именовани чувар.
• Резервисане залихе:јединице издвојене за одобрени захтев али нису предате.
• Издате акције:физичке акредитиве предате власницима и праћене у систему приступа.
• Карантин или пензионисана залиха:оштећене, двосмислене, враћене-изгубљене или на други начин неиздаве јединице.

Трансфери између канцеларија треба да се евидентирају као два повезана догађаја: отпуштање са локације слања и пријем на одредиште. Пошиљка у транзиту не би требало да се појављује као доступна на обе локације.

 

 

Издајте Фоб тек након што су идентитет и приступ одобрени

Циљ издавања је да се докаже да је одређена физичка акредитација дата тачној особи и омогућена са исправним дозволама. Уобичајени редослед је:

1. Потврдите идентитет власника и овлашћени захтев или спонзора.
2. Изаберите доступну, не-у карантину фоб из одговарајућег инвентара сајта.
3. Прочитајте или верификујте електронски идентификатор акредитива користећи одобрени читач/алат.
4. Повежите тај акредитив са власником у систему{0}}контроле приступа.
5. Примените одобрену локацију, групу врата, распоред и правила истека; избегавајте копирање широких дозвола од претходног власника.
6. Тестирајте дозвољени приступ и, где је то изводљиво, представнику одбијен{0}}услов за приступ.
7. Забележите физичку примопредају, оператера издавања, потврду власника и ефективни статус.

Када је упис софтвера централизован, администратор сајта можда неће имати привилегије да креира дозволе. У том случају ток посла би требало да захтева потврду ауторизације пре физичког отпуштања фоб-а.

 

 

Користите профил приступа{0}}посебан за сајт, а не имплицитну глобалну дозволу

Читаоци на неколико локација могу да препознају акредитиве за више{0}}сајтова без овлашћења да отворе сва врата. Признавање и овлашћење остају одвојене одлуке.

Дефинишите профиле као што су запослени на сајту А, извођач радова на локацији Б, одржавање после{0}}часова или привремени посетилац, али их третирајте као примере, а не као универзална подешавања. За сваки профил је потребан власник одобрења, дозвољена врата, распоред, услов истека и правило прегледа. Извођачи могу захтевати спонзора и временско ограничење; стално особље може по одобрењу одељења.

НИСТ СП 800-53 ПЕ-2позива на одржавање овлашћених{0}}листова приступа, издавање акредитива, преглед приступа и уклањање људи када приступ више није потребан. Ово је користан контролни оквир, а не тврдња да свака мала канцеларија мора да примени одређени НИСТ програм сертификације.

 

 

Знајте шта да снимите за сваку примопредају

Корисна евиденција операција{0}}акредитива је заснована на догађајима. Ревизору треба рећи шта је промењено, ко је то одобрио, ко је извршио, на који фоб је то утицало и да ли је промена верификована.

Не стављајте непотребне осетљиве податке о идентитету у табелу добављача нити их штампајте на љусци. Евиденције приступа и лични подаци треба да буду у складу са политиком приватности, задржавања и{1}}контроле приступа организације.

 

 

Пријављен{0}}Изгубљени фоб покреће две радње

Када власник пријави да недостаје фоб, први приоритет је да се онемогући његово овлашћење{0}}да не чека замену пошиљке. Други је ажурирање физичких залиха и евиденције о инцидентима.

Практично изгубљен-фоб процес је да се верификује извештај, идентификује тачан акредитив, суспендује се или опозове преко платформе за{1}}контролу приступа, потврди промена која се преноси на погођене сајтове, документује инцидент и затим се изда нови акредитив под посебном референцом.ХИД-ово упутство за подршку акредитиватакође упућује оператере да деактивирају акредитиве који недостају и доделе замену.

Неке приступне инсталације кеширају дозволе у ​​читачима или контролерима, раде ван мреже или се синхронизују на серверима. У таквим случајевима централни статус „инвалида“ можда неће одмах доказати порицање на свим вратима. Интегратор мора дефинисати понашање ширења и метод верификације. Где систем дозвољава, тестирајте опозвану акредитацију на репрезентативној контролисаној улазној тачки; у супротном проверите статус подржаног контролера или евиденције.

 

 

Враћено није исто што и инвалид

Запослени може да стави фоб на рецепцију док га база података{0}}контроле приступа и даље третира као активну. Може се десити и обрнуто: опозвана фоб остаје физички нестала.

Нека ове две димензије буду одвојене:

Никада немојте претпостављати да брисање записа особе аутоматски мења тренутно стање приступа сваког контролера или читача. Проверите у односу на понашање стварне платформе.

 

 

Одлучите да ли се враћени фобови могу поново издати

Поновна употреба нетакнутих фобова може имати смисла за контролисане операције са малим-трењем, али то је одлука системске{1}}политике. Застарели ЛФ фоб-само за читање може да садржи непроменљиви идентификатор; оператер може да промени свој приступ{4}}системском додељивању без промене чипа, под условом да софтвер подржава тај ток посла. У паметном систему акредитива, заштићени подаци апликације, персонализација и кључеви могу да компликују или забране прерасподелу.

Пре поновног издавања, уклоните приступ бившем власнику, прегледајте и прочитајте фоб, проверите његов статус на повезаним системима, обришите или поново конфигуришите податке{0}}специфичне апликације само када су подржани и овлашћени, направите ново повезивање и извршите тест приступа од краја{1}}до{2}}завршетка. Ако је стари акредитив повезан са безбедносним инцидентом, политика организације може захтевати трајно пензионисање.

Поновно издавање никада не би требало да се описује као „ресетовање УИД-а“. Многи акредитиви имају идентификаторе који се-не могу поново уписивати; оперативна промена се може десити само у бази података контролора.

 

 

Оффбоардинг мора затворити дозволу за сваку локацију

Када корисник напусти организацију или се задатак извођача заврши, власник система мора уклонити њихово овлашћење чак и ако фоб није физички враћен. За објекте са више{1}}локација, довољан је један заборављени сајт или независни контролер да оставе празнину у приступу.

Дајте задатку изван брода одговорног власника. Потврдите активне акредитиве власника, онемогућите све релевантне доделе приступа, усагласите физичке поврате, евидентирајте ставке које недостају и затворите захтев тек када се заврше прописане провере. Када особа има и физички фоб и мобилни акредитив, третирајте их као засебне евиденције акредитива осим ако платформа не документује јединствено понашање опозива.

ХИД'сдокументацију о{0}}управљању акредитивимаилуструје зашто су замена, прекид и статус акредитива експлицитне операције животног циклуса у управљаним системима идентитета. Специфичне функције доступне за примену обичног ЛФ или ВФ зграда{1}}и даље зависе од сопственог софтвера.

 

 

Ускладите физичку залиху са активним акредитивима

Периодична ревизија треба да упореди најмање три извора: -залихе које се држе на сајту, регистар додела и листу активних акредитива система{1}}контроле приступа. Корисни резултат није само "400 привезака за кључеве при руци"; то је листа изузетака којима је потребна акција.

Потражите активне акредитиве без одобреног носиоца, укинуту особу са преживјелим приступом, фоб који је евидентиран као враћен, али још увијек омогућен, дуплицирано активно мапирање гдје је забрањено, недостајући инвентар локације, неискоришћене залихе случајно уписане и трансфере који никада нису добили потврду одредишта.

Одредите учесталост прегледа и рокове одговора из пословног ризика. Сајтовима извођача са великим{1}}прометом ће можда бити потребне чешће провере него малим канцеларијама са стабилним особљем. Општи месечни или тромесечни распоред не може да замени договорену политику.

 

 

Пилотирајте цео животни циклус пре увођења

Користите репрезентативне акредитиве, најмање две конфигурације сајта ако пројекат обухвата различите приступне системе и тестне случајеве који врше транзиције уместо само представљања новог фоб-а читаоцу.

Означите грешке код власника и захтевајте поновно тестирање. Фабричка инспекција добављача може да демонстрира одговор ознаке и тачне податке, али не може да замени тестирање стварног тока регистрације и дозволе организације.

 

 

Затражите од добављача чисту примопредају, а не базу података запослених

Приликом пуштања у рад масовних РФИД привезака за кључеве, спецификација куповине треба да идентификује одобрену технологију чипа/акредитива, референцу за компатибилност читача, очекивани електронски формат података, видљиво правило нумерисања, јединствени-опсег или захтев за мапирање, груписање/групирање локације, процес{1}}одобравања узорка и потребе за долазном верификацијом.

Оператер сајта треба засебно да контролише идентитет запослених, дозволе, одобрења за издавање, изгубљене-фоб одговоре и евиденције ревизије. Када се од добављача тражи да унапред-кодира или унапред-број, тачно се договорите која поља су му потребна и како ће се неслагања решавати. Синтек'сводич за компатибилност привезака за близинупокрива претходну техничку одлуку о куповини, док њенКатегорија производа за РФИД кључевеостаје комерцијални власник за физички извор акредитива.

 

 

Контролна тачка је задатак, а не привезак за кључеве

Лакше је управљати операцијама привезка за кључеве на више{0} локација када један ланац остаје под контролом:

одобрени акредитиви → примљене залихе → чување локације → верификовани власник → профил овлашћеног приступа → догађај животног циклуса → потврда система → усаглашавање залиха.

Привезак за кључеве који скенира исправно је само почетак. Издавање је завршено када се евидентирају и верифицирају физички носилац и електронске дозволе; враћање, замена и искрцавање су завршени када се усагласе и ауторитет акредитива и евиденција физичких залиха.