¿Cómo se audita un sistema de credenciales existente?

Empieza por las personas

Coge la lista de credenciales activas y compárala con la lista de personal, contratas y visitas en vigor.

Cada credencial que no corresponda a una persona actual es un hallazgo, y habrá alguna. Las bajas cuya credencial nunca se revocó son el resultado más frecuente de cualquier auditoría de acceso.

Después comprueba lo contrario: personas que deberían tener acceso y no lo tienen, lo que produce apaños como puertas calzadas y credenciales prestadas.

Ninguno de los dos hallazgos exige tocar un lector, y los dos pesan más que nada técnico que vayas a descubrir.

Después las puertas

Enumera cada puerta bajo control y quién puede pasar por cada una. Compáralo con quién necesita pasar.

El acceso se acumula. La gente cambia de puesto y gana permisos sin perder los antiguos, así que el personal veterano suele tener mucho más acceso del que su trabajo requiere.

Busca puertas que nadie sabe explicar, que aparecen en todo sistema con cierta antigüedad.

Y busca puertas bajo control que en la práctica están calzadas, bloqueadas o esquivadas, porque eso es el sistema diciéndote que los permisos están mal.

Después las tarjetas

Cuenta las tarjetas emitidas frente a las tarjetas de las que se da cuenta. La diferencia son tarjetas en manos desconocidas.

Revisa el stock de tarjetas vírgenes, porque unas tarjetas sin emitir que se pueden dar de alta son un suministro de credenciales.

Revisa en concreto las credenciales temporales y de visita, que son las que menos se devuelven y las que más probablemente sigan activas.

Y busca credenciales compartidas que usa un puesto en vez de una persona, que destruyen el registro de auditoría por completo y suelen estar sin documentar.

La tecnología va al final

Lee una tarjeta con un teléfono y anota lo que devuelve. Un identificador a secas apunta a contenido protegido, y un contenido legible completo apunta a algo que no es una credencial.

Pregunta qué comprueba el lector: un número contra una lista, o un desafío criptográfico. Esa única respuesta caracteriza la instalación entera.

Pregunta con qué rapidez llega una revocación a un lector que funciona sin conexión, y pruébalo.

Anota la antigüedad de la instalación, porque los sistemas montados hace mucho usan con frecuencia esquemas que nadie especificaría hoy. Eso es un hallazgo que registrar y planificar y no una emergencia, y hay que ponerlo en la balanza con todo lo que hayan dado de sí las personas y las puertas.