Como auditar um sistema de crachás existente?
Comece pela lista de quem tem crachá, e não pela tecnologia. A maioria dos achados na maioria das auditorias é organizacional: pessoas que saíram e nunca tiveram o crachá revogado, portas que ninguém revisa há anos e cartões que ninguém sabe onde estão.
Comece pelas pessoas
Pegue a lista de crachás ativos e compare com a lista atual de funcionários, prestadores de serviço e visitantes.
Todo crachá que não corresponde a uma pessoa atual é um achado, e vai haver alguns. Pessoas que saíram e nunca tiveram o crachá revogado são o resultado isolado mais comum de qualquer auditoria de acesso.
Depois confira o inverso: pessoas que deveriam ter acesso e não têm, o que produz contornos como portas escoradas e crachás emprestados.
Nenhum dos dois achados exige mexer num leitor, e os dois pesam mais que qualquer coisa técnica que você vá descobrir.
Depois as portas
Liste cada porta controlada e quem pode passar por cada uma. Compare com quem precisa passar.
O acesso se acumula. As pessoas mudam de função e ganham permissões sem perder as antigas, então funcionários antigos muitas vezes têm muito mais acesso do que o trabalho exige.
Procure portas que ninguém sabe explicar, que aparecem em todo sistema com alguns anos.
E procure portas controladas que na prática ficam escoradas, calçadas ou contornadas, porque é o sistema dizendo que as permissões estão erradas.
Depois os cartões
Conte os cartões emitidos contra os cartões localizados. A diferença são cartões em mãos desconhecidas.
Confira o estoque de cartões virgens, já que cartões não emitidos que podem ser cadastrados são um estoque de credenciais.
Confira especificamente os crachás provisórios e de visitante, que são os que menos tendem a ser devolvidos e mais tendem a continuar ativos.
E procure crachás compartilhados usados por uma função e não por uma pessoa, que anulam por completo a trilha de auditoria e em geral não estão documentados.
A tecnologia vem por último
Leia um cartão com um celular e anote o que volta. Um identificador sozinho aponta para conteúdo protegido, e conteúdo legível por inteiro aponta para algo que não é uma credencial.
Pergunte o que o leitor verifica: um número conferido contra uma lista, ou um desafio criptográfico. Essa única resposta caracteriza a instalação inteira.
Pergunte com que rapidez uma revogação chega a um leitor que funciona sem conexão, e teste.
Anote a idade da instalação, já que sistemas instalados há muito tempo com frequência usam esquemas que ninguém especificaria hoje. Esse é um achado a registrar e a considerar no planejamento, e não uma emergência, e ele deve ser pesado contra tudo o que a revisão das pessoas e das portas encontrou.
Perguntas frequentes
De onde vem a maioria dos achados de auditoria?
Das pessoas, e não da tecnologia. Pessoas que saíram sem ter o crachá revogado e as permissões acumuladas são, com folga, os resultados mais comuns.
Como eu sei que cartões eu tenho?
Leia um com um celular. Um identificador sozinho aponta para conteúdo protegido, e conteúdo legível por inteiro aponta para uma tag de dados.
Devo trocar um sistema antigo depois de uma auditoria?
Não automaticamente. Registre isso como um achado, pese contra as questões organizacionais, e planeje em vez de reagir.
E as portas escoradas?
Elas são a prova de que as permissões não correspondem ao jeito como as pessoas trabalham. Trate-as como um achado sobre as permissões, e não sobre disciplina.