Come si verifica un sistema di badge esistente?
Parti dall'elenco di chi ha un badge invece che dalla tecnologia. Quasi tutti i rilievi di quasi tutte le verifiche sono organizzativi: persone andate via e mai revocate, porte che nessuno rivede da anni, e schede di cui nessuno sa rendere conto.
Parti dalle persone
Prendi l'elenco dei badge attivi e confrontalo con l'elenco del personale interno, del personale esterno e dei visitatori in corso.
Ogni badge che non corrisponde a una persona in carico è un rilievo, e qualcuno ce ne sarà. I badge di chi se n'è andato e non è mai stato revocato sono il risultato singolo più comune di qualsiasi verifica degli accessi.
Poi controlla il contrario: le persone che dovrebbero avere accesso e non ce l'hanno, cosa che produce aggiramenti come porte tenute aperte e badge prestati.
Nessuno dei due rilievi richiede di toccare un lettore, ed entrambi pesano più di qualsiasi cosa tecnica tu vada a scoprire.
Poi le porte
Elenca ogni porta sotto controllo e chi possa passare da ciascuna. Confrontalo con chi ne abbia bisogno.
Gli accessi si accumulano. Le persone cambiano ruolo e guadagnano permessi senza perdere i vecchi, quindi chi è in azienda da molto tempo ha spesso molto più accesso di quanto il suo lavoro richieda.
Cerca le porte che nessuno sa spiegare, che compaiono in ogni sistema con qualche anno alle spalle.
E cerca le porte sotto controllo che nella pratica vengono tenute aperte, bloccate o aggirate, perché è il sistema che ti sta dicendo che i permessi sono sbagliati.
Poi le schede
Conta le schede emesse contro le schede di cui sai rendere conto. La differenza sono schede in mani ignote.
Controlla la scorta di schede vergini, dato che le schede non emesse ma registrabili sono una riserva di credenziali.
Controlla in particolare i badge provvisori e quelli per i visitatori, che sono quelli con meno probabilità di tornare indietro e più probabilità di restare attivi.
E cerca i badge condivisi usati da un ruolo invece che da una persona, che annullano del tutto la tracciabilità e di solito non sono da nessuna parte a verbale.
La tecnologia viene per ultima
Leggi una scheda con un telefono e guarda che cosa torna. Il solo identificatore indica un contenuto protetto, e un contenuto leggibile per intero indica qualcosa che non è una credenziale.
Chiedi che cosa controlli il lettore: un numero confrontato con un elenco, oppure una sfida crittografica. Quella sola risposta caratterizza tutta l'installazione.
Chiedi quanto in fretta una revoca arrivi a un lettore che funziona offline, e provalo.
Annota l'età dell'installazione, dato che i sistemi montati molto tempo fa usano spesso schemi che oggi nessuno specificherebbe. È un rilievo da mettere a verbale e da pianificare invece che un'emergenza, e va pesato contro tutto quello che l'esame delle persone e delle porte ha tirato fuori.
Domande frequenti
Da dove vengono quasi tutti i rilievi di una verifica?
Dalle persone invece che dalla tecnologia. I badge di chi se n'è andato senza essere revocato e i permessi accumulati sono i risultati più comuni, con ampio margine.
Come faccio a sapere che cosa siano le mie schede?
Leggine una con un telefono. Il solo identificatore indica un contenuto protetto, e un contenuto interamente leggibile indica un tag dati.
Devo sostituire un sistema vecchio dopo una verifica?
Non automaticamente. Mettilo a verbale come rilievo, pesalo contro i problemi organizzativi, e pianifica invece di reagire.
E le porte tenute aperte?
Sono la prova che i permessi non corrispondono al modo in cui la gente lavora. Trattale come un rilievo sui permessi invece che sulla disciplina.