Wie prüft man ein vorhandenes Ausweissystem?
Fangen Sie mit der Liste derer an, die einen Ausweis halten, und nicht mit der Technik. Die meisten Befunde der meisten Prüfungen sind organisatorisch: Menschen, die gegangen sind und denen nie entzogen wurde, Türen, die seit Jahren niemand durchgesehen hat, und Karten, über die niemand Rechenschaft ablegen kann.
Bei den Menschen anfangen
Nehmen Sie die Liste der aktiven Ausweise und vergleichen Sie sie mit der Liste der derzeitigen Mitarbeiter, Auftragnehmer und Besucher.
Jeder Ausweis, der zu keiner derzeitigen Person passt, ist ein Befund, und es wird welche geben. Ausgeschiedene, deren Ausweis nie entzogen wurde, sind das häufigste einzelne Ergebnis jeder Zutrittsprüfung.
Prüfen Sie dann die Gegenrichtung: Menschen, die Zutritt haben sollten und keinen haben, denn das erzeugt Umgehungen wie aufgekeilte Türen und geliehene Ausweise.
Für keinen der beiden Befunde ist ein Lesegerät anzufassen, und beide wiegen schwerer als alles Technische, das Sie entdecken werden.
Dann die Türen
Listen Sie jede kontrollierte Tür auf und wer jede einzelne passieren darf. Vergleichen Sie das damit, wer es muss.
Zutritt sammelt sich an. Menschen wechseln die Rolle und gewinnen Berechtigungen, ohne die alten zu verlieren, langgediente Mitarbeiter halten also oft weit mehr Zutritt, als ihre Aufgabe verlangt.
Suchen Sie nach Türen, die niemand erklären kann, und die treten in jedem System eines gewissen Alters auf.
Und suchen Sie nach kontrollierten Türen, die in der Praxis aufgekeilt, verkeilt oder umgangen werden, denn damit sagt Ihnen das System, dass die Berechtigungen falsch sind.
Dann die Karten
Zählen Sie die ausgegebenen Karten gegen die Karten, über die Rechenschaft besteht. Der Unterschied sind Karten in unbekannten Händen.
Prüfen Sie den Bestand an Rohlingen, denn nicht ausgegebene Karten, die sich erfassen lassen, sind ein Vorrat an Nachweisen.
Prüfen Sie zeitweilige Ausweise und Besucherausweise ausdrücklich, denn sie kommen am seltensten zurück und bleiben am ehesten aktiv.
Und prüfen Sie auf geteilte Ausweise, die von einer Rolle statt von einer Person benutzt werden, denn sie setzen die Nachweiskette vollständig außer Kraft und sind meist nirgends festgehalten.
Die Technik kommt zuletzt
Lesen Sie eine Karte mit einem Telefon und halten Sie fest, was zurückkommt. Eine Kennung allein deutet auf geschützten Inhalt, vollständig lesbarer Inhalt auf etwas, das kein Nachweis ist.
Fragen Sie, was das Lesegerät prüft: eine Nummer gegen eine Liste oder eine kryptografische Abfrage. Diese eine Antwort kennzeichnet die ganze Anlage.
Fragen Sie, wie schnell ein Entzug ein Lesegerät erreicht, das ohne Netz arbeitet, und prüfen Sie es nach.
Halten Sie das Alter der Anlage fest, denn vor langer Zeit eingebaute Systeme benutzen häufig Verfahren, die heute niemand ausschreiben würde. Das ist ein Befund zum Festhalten und Verplanen und kein Notfall, und er ist gegen alles abzuwägen, was die Durchsicht der Menschen und Türen ergeben hat.
Häufige Fragen
Woher stammen die meisten Prüfbefunde?
Von Menschen und nicht von der Technik. Ausgeschiedene, denen nie entzogen wurde, und angesammelte Berechtigungen sind mit weitem Abstand die häufigsten Ergebnisse.
Wie erkenne ich, was meine Karten sind?
Lesen Sie eine mit einem Telefon. Eine Kennung allein deutet auf geschützten Inhalt, vollständig lesbarer Inhalt auf einen Daten-Tag.
Sollte ich nach einer Prüfung ein altes System ersetzen?
Nicht von selbst. Halten Sie es als Befund fest, wägen Sie es gegen die organisatorischen Punkte ab, und planen Sie, statt zu reagieren.
Und aufgekeilte Türen?
Sie sind ein Beleg dafür, dass die Berechtigungen nicht dazu passen, wie Menschen arbeiten. Behandeln Sie sie als Befund über die Berechtigungen und nicht über die Disziplin.