Анастасия Вербицкая: «Аутентификация по картам и брелокам для режимного объекта — дыра, а не контроль доступа»

8 часов назад

Изменения в законодательстве, ужесточение требований к защите критической важной инфраструктуры и новые подходы к аутентификации персонала влияют на выбор оборудования и архитектуру решений СКУД. В интервью журналу RUБЕЖ Анастасия Вербицкая, директор по стратегическому развитию компании OVISION, рассказала, как меняются запросы заказчиков, с какими практическими задачами они приходят чаще всего и на что обращают внимание при интеграции биометрических систем в существующую инфраструктуру предприятий.

— Какие скрытые и явные изменения в запросах промышленников и ТЭК вы фиксируете сейчас?

Анастасия Вербицкая: Явное изменение — запрос сместился с «установите нам СКУД» на «установите СКУД, которая пройдет проверку». Заказчики первым делом спрашивают про соответствие 572-ФЗ, реестры Минпромторга и отечественного ПО, применяемые СКЗИ. А скрытое изменение — растущее недоверие к аутентификации по картам и пропускам. Службы безопасности понимают, что карта аутентифицирует предмет, а не человека. Отдельная специфика — КИИ, таким объектам закон разрешает только прямое транзакционное взаимодействие с ЕБС, и запрос на готовые решения под эту схему заметно вырос.

— С какими «новыми болями» заказчики приходят к вам чаще всего? На какие из них вы готовы ответить, а какие определяют точки роста для R&D и производства?

А. Вербицкая: Чаще всего приходят с двумя: «как нам легально работать с биометрией по 572-ФЗ» и «как встроить биометрию в уже существующую СКУД, не меняя всю инфраструктуру и не удваивая бюджет». Первую закрываем полностью сами: наши терминалы работают через ЕБС и нашу аккредитованную КБС, так что заказчику не нужно разбираться в регуляторике, оборудование «из коробки» соответствует закону. Вторую — готовыми интеграциями с распространенными СКУД. А точки роста для R&D — это работа оборудования в жестких промышленных условиях и расширение поддерживаемых модальностей аутентификации.

— Какие системы морально устарели в свете новых угроз?

А. Вербицкая: Во-первых, аутентификация по картам и брелокам: их передают, теряют и клонируют. Для режимного объекта это дыра, а не контроль доступа. Во-вторых, биометрические системы с локальным хранением шаблонов. С учетом требований 572-ФЗ — это не только риск утечки, но и прямое нарушение закона. В-третьих, любое распознавание лиц без качественной liveness-проверки.

— Какие доработки в оборудовании стали обязательными при работе с объектами ТЭК и промышленности?

А. Вербицкая: Если говорить о базовых требованиях, это в первую очередь пылевлагозащита и антивандальное исполнение, так как терминал на промышленной проходной живет в совсем других условиях, чем в бизнес-центре. А вот выделить какой-то универсальный обязательный набор сложно: требования сильно зависят от конкретного места инсталляции, уровня запыленности т.п. Поэтому мы идем не от типовых вариантов, а от обследования объекта: определяем условия эксплуатации и потом предлагаем конфигурацию решения.

— С какими типовыми ошибками в эксплуатации сталкиваетесь на стороне заказчика?

А. Вербицкая: Самая частая — биометрия для галочки: терминалы установлены, но карты оставлены всем сотрудникам как основной способ прохода, и система не дает никакого прироста безопасности. Вторая, забытая, — гигиена доступа. Права уволенных сотрудников и подрядчиков не отзываются месяцами, и никакая технология это не компенсирует.

Из упускаемых рисков при проектировании — защита канала связи между терминалом и системой. Заказчики тщательно выбирают биометрическую систему, но не думают о том, что данные между всеми узлами системы тоже нужно шифровать обязательно сертифицированными СКЗИ.

Читайте также: "Дмитрий Дорофеев: «В определенный момент должен сработать барьер, который не зависит от радиоканала, ПО и человеческой реакции»