Hvad er adgangskontrol?

I de fleste moderne kontormiljøer styres adgangen af et system, der kaldes adgangskontrol, på engelsk access control, som afgør, hvem der må komme ind i en bygning, et lokale eller en digital ressource, og under hvilke omstændigheder. Branchen bruger den engelske term især i internationale sammenhænge og i produktblade, standarder og udbud. I praksis er adgangskontrol både den fysiske infrastruktur ved døre og porte og det softwarelag, der håndterer rettigheder, logfiler og regler.

Hvad bruges adgangskontrol til?

Adgangskontrol findes i de fleste moderne kontorer, lagre og sundhedsbygninger. Kontorer begrænser adgangen til etager og serverrum, lagre beskytter læsseramper mod uautoriseret afhentning, hospitaler adskiller personaleområder fra offentlige områder, og datacentre kræver flertrinsverifikation ved hver slusedør. Skoler og daginstitutioner bruger systemerne til at forhindre, at ukendte voksne bevæger sig frit rundt i lokalerne i skoletiden.

Mange organisationer kombinerer adgangskontrol med videoovervågning og tyverialarm. Når et gyldigt kort aflæses, registreres det i loggen, og ved en alarm kan operatøren hurtigt se, hvem der senest passerede en bestemt dør.

Komponenter og dataflow

Teknisk består systemet af fire hoveddele, der arbejder sammen. En bruger præsenterer noget, der identificerer ham eller hende, en læser aflæser oplysningen, en styreenhed sammenligner den med et regelsæt, og en låsemekanisme lukker ind eller holder ude. Mellem disse dele løber både strøm og data, oftest via beskyttede netværk.

Komponenterne i et typisk adgangskontrolsystem er:

identifikator i form af kort, brik, mobil eller biometri
læser ved døren eller porten, som registrerer identifikatoren
styreenhed eller controller, som træffer beslutningen om adgang
låseenhed, elslutblik eller magnetlås, som åbner passagen
administrationssoftware til rettigheder, tidsplaner og logfiler
netværksforbindelse, som binder delene sammen og muliggør fjernstyring

Tilsammen afgør disse komponenter, både hvor trygt og hvor smidigt systemet opleves. Et veltilrettelagt system lukker de rigtige personer ind på under et sekund og stopper resten uden dramatik.

Forskellige typer identifikation og autentificering

Identifikation inden for adgangskontrol sker traditionelt i tre brede kategorier, som branchen kalder something you have, something you know og something you are. Sikkerhedsbranchen anbefaler, at mindst to af dem kombineres til følsomme områder, hvilket kaldes tofaktorgodkendelse eller MFA.

Kort og brikker med RFID er den mest udbredte løsning i kontormiljøer. Mobile autentificeringsløsninger med Bluetooth eller NFC har vundet frem, efter at smartphonen er blevet et arbejdsredskab. PIN-koder er stadig almindelige i kombination med kort, især ved pengeskabe og serverrum. Biometri som fingeraftryk og ansigtsgenkendelse passer til miljøer med højere sikkerhedskrav, men er omfattet af databeskyttelsesforordningen (GDPR) og kræver et særligt retsgrundlag.

Fire modeller for adgangsstyring: DAC, MAC, RBAC og ABAC

Når administratorer skal beslutte, hvilke regler der skal gælde, tager de oftest udgangspunkt i en af fire modeller for adgangskontrol. Modellen påvirker både fleksibilitet og sikkerhedsniveau, og valget afhænger af virksomhedens behov.

Discretionary Access Control (DAC) giver ejeren af en ressource ret til selv at bestemme, hvem der får adgang. Modellen passer til mindre miljøer og klassiske filsystemer.
Mandatory Access Control (MAC) er en stram model, hvor en central instans tildeler sikkerhedsklasser til både brugere og ressourcer. MAC bruges primært hos myndigheder og i forsvaret, hvor klassifikationsniveauerne er reguleret.
Role-Based Access Control (RBAC) tildeler adgang ud fra rolle frem for identitet. En regnskabsassistent får automatisk adgang til økonomisystemet og intet andet. RBAC bruges bredt i større organisationer, fordi modellen er nem at administrere ved personaleændringer.
Attribute-Based Access Control (ABAC) tager højde for flere attributter på én gang, for eksempel brugerens rolle, tidspunkt, sted og enhed. Modellen er den mest finmaskede, men kræver mere arbejde at vedligeholde. ABAC er udbredt i moderne cloudbaserede løsninger.

RBAC er et godt udgangspunkt for mange virksomheder, fordi rollerne sjældent ændrer sig hurtigt. Til virksomhedens mest beskyttede områder, som serverrum, sikkerhedskritiske anlæg eller områder med skærpede krav til sporbarhed, suppleres RBAC ofte med ABAC-regler.

Krav ved valg af adgangskontrol

Tre faktorer afgør i praksis, om et adgangskontrolsystem fungerer: skalerbarhed, integration og drift. Skalerbarheden handler om, hvor mange døre og brugere løsningen kan håndtere, uden at ydeevne eller administration lider under det. Integrationen afgør, om systemet kan tale med alarmer, kameraer og HR-systemer på en fornuftig måde. Driften påvirker både omkostninger og sikkerhed over tid, fordi firmwareopdateringer og kortudskiftninger er hverdagskost i en installation med mange døre.

Tidligt i processen kortlægger man, hvilke grupper der skal have adgang, hvilke tidsrum der gælder, og hvilke områder der kræver ekstra beskyttelse. Den kortlægning styrer både valget af identifikator og valget af autentificeringsniveau. Håndterer virksomheden følsomme oplysninger, skal cybersikkerhed stå udtrykkeligt i kravspecifikationen, fordi moderne løsninger er netværksforbundne og dermed potentielle mål for hackerangreb.

Dokumentation og forvaltning bærer systemets beskyttelsesværdi over tid, men havner alligevel ofte uden for kravspecifikationen. En løsning, der installeres korrekt, men ikke opdateres, når medarbejdere stopper, mister hurtigt værdi. Rutinerne for tildeling af rettigheder, afmelding og periodisk gennemgang er systemets egentlige beskyttelsesmekanisme over tid.