Hva er adgangskontroll?

I de fleste moderne kontormiljøer styres adgangen av et system som kalles adgangskontroll, på engelsk access control, som avgjør hvem som får komme inn i en bygning, et lokale eller en digital ressurs, og under hvilke omstendigheter. Bransjen bruker den engelske termen først og fremst i internasjonale sammenhenger og i produktblad, standarder og anskaffelser. I praksis er adgangskontroll både den fysiske infrastrukturen ved dører og porter og programvarelaget som håndterer rettigheter, logger og regler.

Hva brukes adgangskontroll til?

Adgangskontroll finnes i de fleste moderne kontorer, lagre og helsebygg. Kontorer begrenser adgangen til etasjer og serverrom, lagre beskytter lasteramper mot uautorisert henting, sykehus skiller personalområder fra publikumsarealer, og datasentre krever flertrinnsverifisering ved hver slusedør. Skoler og barnehager bruker systemene for å hindre at ukjente voksne beveger seg fritt i lokalene i skoletiden.

Mange virksomheter kombinerer adgangskontroll med kameraovervåking og innbruddsalarm. Når et gyldig kort leses, registreres det i loggen, og ved en alarm kan operatøren raskt se hvem som sist passerte en bestemt dør.

Komponenter og dataflyt

Teknisk består systemet av fire hoveddeler som arbeider sammen. En bruker presenterer noe som identifiserer ham eller henne, en leser avleser opplysningen, en styreenhet sammenligner den med et regelsett, og en låsmekanisme slipper inn eller stenger ute. Mellom disse delene går det både strøm og data, som oftest via beskyttede nettverk.

Komponentene i et typisk adgangskontrollsystem er:

• identifikator i form av kort, brikke, mobil eller biometri
• leser ved døren eller porten som registrerer identifikatoren
• styreenhet eller kontroller som tar beslutningen om adgang
• låsenhet, elektrisk sluttstykke eller magnetlås som åpner passasjen
• administrasjonsprogramvare for rettigheter, tidsplaner og logger
• nettverkstilkobling som binder delene sammen og muliggjør fjernstyring

Sammen avgjør disse komponentene både hvor trygt og hvor smidig systemet oppleves. Et godt innstilt system slipper inn de riktige personene på under ett sekund og stopper resten uten dramatikk.

Ulike typer identifisering og autentisering

Identifisering i adgangskontroll skjer tradisjonelt i tre brede kategorier som bransjen kaller something you have, something you know og something you are. Sikkerhetsbransjen anbefaler at minst to av dem kombineres for sensitive områder, noe som kalles tofaktorautentisering eller MFA.

Kort og brikker med RFID er den vanligste løsningen i kontormiljøer. Mobile autentiseringsløsninger med Bluetooth eller NFC har vunnet terreng etter at smarttelefonen ble et arbeidsverktøy. PIN-koder er fortsatt vanlige i kombinasjon med kort, særlig ved safer og serverrom. Biometri som fingeravtrykk og ansiktsgjenkjenning passer i miljøer med høyere sikkerhetskrav, men omfattes av personvernforordningen (GDPR) og krever et særskilt rettslig grunnlag.

Fire modeller for tilgangsstyring: DAC, MAC, RBAC og ABAC

Når administratorer skal bestemme hvilke regler som skal gjelde, tar de som regel utgangspunkt i én av fire modeller for adgangskontroll. Modellen påvirker både fleksibilitet og sikkerhetsnivå, og valget avhenger av virksomhetens behov.

• Discretionary Access Control (DAC) gir eieren av en ressurs rett til selv å bestemme hvem som får tilgang. Modellen passer for mindre miljøer og klassiske filsystemer.
• Mandatory Access Control (MAC) er en streng modell der en sentral instans tildeler sikkerhetsklasser til både brukere og ressurser. MAC brukes først og fremst i offentlig forvaltning og forsvar, der graderingsnivåene er regulert.
• Role-Based Access Control (RBAC) tildeler tilgang ut fra rolle i stedet for identitet. En regnskapsmedarbeider får automatisk tilgang til økonomisystemet, og ingenting mer. RBAC brukes bredt i større organisasjoner fordi modellen er enkel å administrere ved personalendringer.
• Attribute-Based Access Control (ABAC) tar hensyn til flere attributter samtidig, for eksempel brukerens rolle, tidspunkt, sted og enhet. Modellen er den mest finmaskede, men krever mer arbeid å vedlikeholde. ABAC er vanlig i moderne skybaserte løsninger.

RBAC er et godt utgangspunkt for mange virksomheter, fordi rollene sjelden endrer seg raskt. For virksomhetens best beskyttede områder, som serverrom, skjermingsverdige objekter eller områder med strengere krav til sporbarhet, suppleres RBAC ofte med ABAC-regler.

Krav ved valg av adgangskontroll

Tre faktorer avgjør i praksis om et adgangskontrollsystem fungerer: skalerbarhet, integrasjon og drift. Skalerbarheten handler om hvor mange dører og brukere løsningen tåler uten at ytelse eller administrasjon blir skadelidende. Integrasjonen avgjør om systemet kan snakke med alarm, kameraer og HR-systemer på en fornuftig måte. Driften påvirker både kostnader og sikkerhet over tid, siden fastvareoppdateringer og kortbytter er hverdagskost i et anlegg med mange dører.

Tidlig i prosessen kartlegger man hvilke grupper som skal ha adgang, hvilke tider som gjelder, og hvilke områder som krever ekstra beskyttelse. Denne kartleggingen styrer både valget av identifikator og valget av autentiseringsnivå. Håndterer virksomheten sensitiv informasjon, skal cybersikkerhet stå uttrykkelig i kravspesifikasjonen, fordi moderne løsninger er nettverkstilkoblet og dermed mulige mål for datainnbrudd.

Dokumentasjon og forvaltning bærer systemets beskyttelsesverdi over tid, men havner likevel ofte utenfor kravspesifikasjonen. En løsning som installeres riktig, men ikke oppdateres når ansatte slutter, taper seg raskt i verdi. Rutinene for tildeling av rettigheter, avregistrering og periodisk gjennomgang er systemets egentlige beskyttelsesmekanisme over tid.