Å avgjøre om noen skal få tilgang til et område innebærer at sensitiv informasjon beveger seg gjennom flere ulike komponenter – fra legitimasjon (for eksempel kort, tagger og mobil-ID) til kortlesere, kontrollenheter, servere, programvareklienter med mer. Hvis ikke hele denne kjeden er beskyttet, blir den sårbar for angrep og datainnbrudd.

– I tillegg kan angrep få alvorlige konsekvenser – utover de svimlende kostnadene som følger med datainnbrudd, kommenterer Steven Commander, Head of Consultant Relations i HID, som er verdensledende innen identitetsløsninger og kortteknologi for adgangskontroll.

– Når angripere først har kompromittert adgangskontrollsystemet ditt, kan de få tilgang til avgrensede områder, deaktivere alarmer, endre rettigheter og stjele bedriftshemmeligheter.

Helhetsbildet er viktig

Å beskytte tilgangsdata innebærer å sikre konfidensialitet, integritet og tilgjengelighet.

– Men fordi mange organisasjoner behandler fysisk sikkerhet og cybersikkerhet som separate områder, mangler de ofte et helhetsbilde av informasjonssystemet. Det gjør det vanskeligere å identifisere sårbarheter, påpeker Steven Commander.

Mange utfordringer

Selv om bevisstheten øker, råder det fortsatt stor forvirring om hva det faktisk innebærer å styrke cybersikkerheten i adgangskontrollsystemer. Standarder har utviklet seg, sammen med sertifiseringer som NIST 800-53 og TÜVIT. Dette er positive fremskritt, men langt fra nok til å håndtere hele problemets omfang, ifølge Steven Commander.

– Å sikre adgangssystemer handler om mer enn å granske integriteten til enkeltkomponenter. Det handler om å analysere hvordan informasjonen beveger seg mellom komponentene og hvor risikoer kan oppstå. Hvordan provisjoneres sensitiv informasjon om ansattes identiteter og rettigheter på kortene? Hvordan lagres og håndteres den?

– Å vurdere disse risikoene krever dyp kunnskap innen operativsystemer, Active Directory og databaser, samt grunnleggende forståelse av krypteringsprotokoller og algoritmer. Det krever altså tett samarbeid mellom ulike team og interne eksperter, fastslår han.

Prioritert cybersikkerhet

Hvordan kan cybersikkerheten i adgangskontrollsystemer sikres?

– Kort fortalt avhenger reisen av miljøet og skjer som regel trinnvis. Hos HID anbefaler vi en «good, better, best»-modell som starter med å etablere et grunnivå før man går videre med forbedringer og oppgraderinger.

Sikkerhetstiltak

Her kommer eksempler fra ulike deler av et adgangskontrollsystem

• Legitimasjon (kort, tagger, mobil-ID)

Formål: Å lagre adgangskontrollinformasjon på en sikker måte
Grunnivå: Bruk kort med 13,56 MHz-teknologi. Data som lagres på kortet skal beskyttes med kryptering (AES 128 som beste praksis). Det samme gjelder data som overføres mellom kort og leser.
Forbedring: Innfør policyer for nøkkelhåndtering og velg løsninger som er penetrasjonstestet og tredjepartssertifisert.

• Lesere

Formål: Å behandle legitimasjon og sende den videre til en kontrollenhet
Grunnivå: Bruk lesere som støtter 13,56 MHz og har sikkert element for lagring av krypteringsnøkler.
Forbedring: Velg løsninger med sikre kommunikasjonskanaler mellom leser og kontrollenhet. Håndter oppdateringer gjennom autoriserte vedlikeholdsprogrammer – ikke via konfigurasjonskort.

• Kontrollenheter

Formål: Å kommunisere med lesere og kort for å avgjøre om brukeren har tilgang
Grunnivå: Installer kontrollenheter i sikre, manipulasjonssikre kapslinger. Koble dem til et dedikert og sikkert VLAN og deaktiver alle andre grensesnitt (som USB og SD). Fjern standardkonfigurasjoner og sørg for at firmware og patcher alltid er oppdaterte.
Forbedring: Tillat kun godkjente IP-adresser og bruk kryptering både i hvile og under overføring.

• Servere og klienter

Formål: Systemets hoveddatabase og administrasjonskonsoll
Grunnivå: Kjør servere og klienter på et dedikert, sikkert VLAN. Velg løsninger som tilbyr transparent rapportering av CVE-er og følger SDLC-standarder som ISA/IEC 62443-4-1. Hold både programvare og operativsystem oppdatert.
Forbedring: Krypter data i hvile og under overføring og bruk egne TLS-sertifikater.

Følg beste praksis

Selv med etablerte protokoller er det avgjørende å følge beste praksis og produsentanbefalinger – små feil i implementeringen kan gi store konsekvenser.

– Til syvende og sist må arkitekturen for adgangskontroll passe sømløst inn i organisasjonens overordnede nettverks- og IT-arkitektur, sier Steven Commander, som avslutter med at sikring av adgangskontrollsystemer ikke bare handler om risikominimering, men også kan bidra til økt driftseffektivitet.