Баланс usability и security при выборе СКУД

Навеяно в предстоящем выборе СКУД
и обоснованности её цены перед вышестоящими чинами

СКУД - это система контроля и управления доступом,  предназначенная для управления физическим доступом в помещения, здания с помощью различных способов аутентификации, которые можно разделить на биологические и аппаратно-технические методы.

Авторизация — это не то же самое что идентификация и аутентификация: идентификация — это называние лицом себя системе; аутентификация — это установление соответствия лица названному им идентификатору; а авторизация — предоставление этому лицу возможностей в соответствие с положенными ему правами или проверка наличия прав при попытке выполнить какое-либо действие.



Аппаратно-техническая аутентификация

Один из первых и старый, метод основанный на считывании информации с магнитной ленты карты. Простой, но очень не надежный от подделки и кражи, а также повреждения самого носителя.

С развитием технологий, сейчас большую популярность занял метод идентификации посредством  считывания с метки (транспондер) информации радиосигналом по протокол RFID. Технология RFID универсальна на столько, что её используют повсеместно все, где это возможно применить.

Биологическая аутентификация

Главное их отличие от технической - это высокая надежность носителя информации. Биологических методы идентификации много, но большинство из них редко используемые на практике. Например, аутентификация по голосу или по лицу человека. Не смотря на все, казалось бы удобства, имеют очень низкую степень защиты от подделки.

Более высокой надежностью защиты от подделки считаются отпечатки пальцев рук, но и этот метод полностью на защищен от подделки. В отличии от аутентификация по сетчатке глаз, но эта технология дорогая и имеет низкое удобство в использовании её потребителем.

Человек

Этот метод аутентификации существуют с древних времен, как только у человека появилась такая потребность.

Начиная от “Стражника”, который был вооружен и охранял доверенный ему вход. Потом с совершенствованием механики появились “Ключники”, которые хранили ключи от дверей снабженные замками.

Парадокс в том, что является самым не надежным и в то же время по надежности всегда будет на первом месте, но об этом впререди.

По каким критериям выбрать технологию аутентификации

А теперь, нужно для себя выбрать СКУД и с какой технологией аутентификации использовать её. С чего начать? Прежде всего, определимся с тем, что все современные методы аутентификации нужно оценивать только по двум понятиям: security и usability

По-русски  “безопасность” и “способность к использованию”, но именно использование английской формулировки позволит получить достаточно ясную область, которую нужно рассматривать для оценки. (Мне так удобнее)

Для подготовки поста “Технология Finger Vein” использовалась информация с сайта hitachi. В поисках информации, мне встретилась интересная статья “About Finger Vein” и после прочтения её мое мнение укрепилось окончательно. В статье приведены доводы об зависимости “security” и “usability” друг от друга, в том числе на графическом примере.

Взяв за основу графический пример из статьи Hitachi, можно получить некоторый инфографик. (График сделал сознательно с английской терминологией) На нем наглядно представлена зависимость “security” и “usability”.

Существует явная зависимость цены (“Price”) от повышения степени безопасности (“security” ).



Хочу обратить внимание на “Man” и “Trusted Man”.

Никакая система не даст 100% гарантии защиты от проникновения, т.к. только человек будет гарантировать самую лучшую защиту и которая всегда будет выше, чем у любой из существующих СКУД.

Только человек является самым универсальным по отношению к  “security” и “usability”. Он может быть самым надежным средством защиты (“Trusted Man”), а может и самым не надежным средством  соответственно  по отношении “usability”.

Объясню на примере

“Man” - это простой вахтер у входа: простой мирный человек, он добрый и приветливый, особо никого не беспокоит из посетителей. Уровень оплаты за такую работу мал, потому что высокой степени безопасности не требуется.

“Trusted Man” - это охранник у входа: обученный человек с оружием, который знает, как себя вести в штатной ситуации. У него есть инструкции, которые он строго соблюдает. Он знает степень своей ответственности и список допущенных лиц в помещение, каждого в этом списке он помнит и знает лично.

Определите для себя уровень требуемой безопасности

При выборе СКУД обязательно нужно предъявлять необходимые требования к уровню безопасности. Осознать, что уровень безопасности должен соответствовать уровню ущерба - это есть главный критерий выбора СКУД.

Поможет в этом, собственный ответ на следующий вопрос: “Какие последствия будут после проникновения?”.  Ответив, казалось бы простой вопрос, можно определить требуемый уровень безопасности, а значит выбрать для себя СКУД.

В этом может помочь следующая таблица, где последствия определяют требуемый уровень безопасности, а зная уровень безопасности можно определить тип СКУД по предыдущему инфографику.

Уровень безопасности	Последствия проникновения через защиту
LOW	Последствия проникновения не важны
GUARDED	Последствия проникновения нанесут возможный последующий ущерб.
ELEVATED	Последствия проникновения нанесут ущерб.
HIGH	Последствия проникновения нанесут непоправимый ущерб
SEVERE	Последствия проникновения нанесут непоправимый ущерб, в том числе и последующую череду ущербов.

Финансовая сторона безопасности

Будьте готовы выделить большие деньги на внедрение СКУД, и чем выше уровень безопасности, тем объем бюджета может расти и не всегда линейно.