Comment auditer un système de badges existant ?
En commençant par la liste de qui détient un badge plutôt que par la technologie. Dans la plupart des audits, l'essentiel des constats relève de l'organisation : des personnes parties et jamais révoquées, des portes que personne n'a revues depuis des années, et des cartes dont personne ne peut rendre compte.
Commencer par les personnes
Prendre la liste des badges actifs et la comparer à celle des salariés, prestataires et visiteurs en cours.
Chaque badge qui ne correspond à personne d'actuel est un constat, et il y en aura. Les partis dont le badge n'a jamais été révoqué sont le résultat le plus fréquent de tout audit d'accès.
Vérifier ensuite l'inverse : les personnes qui devraient avoir un accès et ne l'ont pas, ce qui produit des contournements comme les portes calées et les badges empruntés.
Aucun de ces deux constats ne demande de toucher un lecteur, et tous deux portent plus à conséquence que ce que vous découvrirez de technique.
Puis les portes
Lister chaque porte sous contrôle et qui a le droit de la franchir. Comparer avec qui en a besoin.
Les accès s'accumulent. Les gens changent de poste et gagnent des autorisations sans perdre les anciennes, si bien que les salariés anciens détiennent souvent bien plus d'accès que leur fonction n'en réclame.
Chercher les portes que personne ne sait expliquer, et il en apparaît dans tout système un peu ancien.
Et chercher les portes sous contrôle qui sont calées, bloquées ou contournées en pratique, parce que c'est le système qui vous dit que les autorisations sont fausses.
Puis les cartes
Compter les cartes émises face aux cartes dont on rend compte. La différence, ce sont des cartes en des mains inconnues.
Contrôler le stock de vierges, puisque des cartes non émises et enrôlables constituent une réserve de titres d'accès.
Contrôler spécifiquement les badges temporaires et visiteurs, les moins susceptibles d'être rendus et les plus susceptibles de rester actifs.
Et chercher les badges partagés employés par une fonction plutôt que par une personne, qui annulent entièrement la piste d'audit et ne sont en général consignés nulle part.
La technique vient en dernier
Lire une carte avec un téléphone et noter ce qui revient. Un identifiant seul désigne un contenu protégé, un contenu entièrement lisible désigne quelque chose qui n'est pas un titre d'accès.
Demander ce que le lecteur vérifie : un numéro comparé à une liste, ou un défi cryptographique. Cette seule réponse caractérise toute l'installation.
Demander à quelle vitesse une révocation atteint un lecteur qui fonctionne hors ligne, et le tester.
Noter l'âge de l'installation, puisque les systèmes posés il y a longtemps emploient fréquemment des schémas que personne ne spécifierait aujourd'hui. C'est un constat à consigner et à planifier plutôt qu'une urgence, et il doit être pesé face à tout ce que l'examen des personnes et des portes a produit.
Questions fréquentes
D'où viennent la plupart des constats d'audit ?
Des personnes plutôt que de la technologie. Les partis jamais révoqués et les autorisations accumulées sont de loin les résultats les plus fréquents.
Comment savoir ce que sont mes cartes ?
En en lisant une avec un téléphone. Un identifiant seul désigne un contenu protégé, un contenu entièrement lisible désigne un tag de données.
Faut-il remplacer un système ancien après un audit ?
Pas automatiquement. Le consigner comme constat, le peser face aux problèmes d'organisation, et planifier plutôt que réagir.
Et les portes calées ?
Elles prouvent que les autorisations ne correspondent pas à la façon dont les gens travaillent. Les traiter comme un constat sur les autorisations plutôt que sur la discipline.