W czasach powszechnych cyberzagrożeń instytucje finansowe nie mogą zapominać o zagrożeniach fizycznych, związanych z dostępem osób do danych. Nieodpowiednie zabezpieczenie kluczowych miejsc, gdzie zapadają finansowe decyzje, w skrajnych przypadkach może wpływać na sytuację gospodarczą w kraju, a nawet globalnie. Modeli zabezpieczenia jest dużo – od kart dostępowych po systemy skanujące siatkówkę oka. Ważna jest ich współpraca i integracja.
Jeszcze kilkanaście lat temu oglądając film Briana de Palmy Mission: Impossible, w którym pewne pomieszczenia zabezpieczone są skanem tęczówki oka, klasyfikowaliśmy takie rozwiązanie jako science-fiction. W ciągu kilku lat weszły one jednak do realnego zastosowania. Sforsowanie ich to ciągle misja niemożliwa do wykonania. Tego typu zabezpieczenia najwyższego rzędu stosowane są m.in. w instytucjach finansowych, takich jak banki, giełdy czy fundusze inwestycyjne zarządzające dużym kapitałem. Tam, gdzie dostęp do danych ma bardzo wąska, wyselekcjonowana grupa ludzi podejmujących finansowe decyzje. Brak takich zabezpieczeń i uzyskanie dostępu do danych przez niepowołane osoby, mógłby – w skrajnych przypadkach – prowadzić do niepożądanego wpływu na transakcje finansowe, np. fuzje czy przejęcia, a w rezultacie do zachwiania sytuacji gospodarczej kraju. przypadku dużych instytucji mogłoby to mieć nawet globalne znaczenie.
– „Filmowa” technologia zabezpieczeń od wielu lat jest dostępna i powszechnie stosowana przez polskie przedsiębiorstwa, wśród których wyróżniają się w tym zakresie instytucje finansowe. Oczywiście ze względów bezpieczeństwa i zapisów umów o zachowaniu tajemnicy trudno mówić o konkretnych firmach czy budynkach, ale są już organizacje, które świetnie rozumieją znaczenie systemów ochrony i najwyższych standardów zabezpieczeń na każdym etapie danego procesu. Priorytetem jest precyzyjne dedykowanie dostępu do strategicznych informacji. Dodatkowym argumentem przemawiającym za stosowaniem wysokiej klasy zabezpieczeń jest konieczność uwzględnienia obowiązujących norm: międzynarodowych, europejskich i polskich – mówi Michał Turek, Dyrektor Sprzedaży działu Systems, SPIE Building Solutions Sp. z o.o.
Od sabotażu do lekkomyślności
Nie zawsze stosowanie najbardziej wysublimowanych i drogich zabezpieczeń jest konieczne i potrzebne. Bezpieczeństwo osób, informacji i mienia w instytucji finansowej gwarantowane jest przede wszystkim poprzez wydzielenie powierzchni dostępnej dla gości oraz przeznaczonej wyłącznie dla pracowników. Jedną z podstawowych zasad bezpieczeństwa jest kontrola przepływu osób poruszających się w ramach wyznaczonych obszarów. Możliwość decydowania o tym, kto, gdzie i kiedy może wejść ma kluczowe znaczenie dla ochrony budynku, pracujących w nim osób oraz przechowywanych informacji i mienia.
– Naturalnym celem jest zabezpieczenie przed celowymi działaniami o charakterze przestępczym, np. związanym ze szpiegostwem przemysłowym czy sabotażem. Tak oczywiste nie jest już niezamierzone działanie i lekkomyślność personelu, które również niosą potencjalnie poważne zagrożenia – mówi Michał Turek ze SPIE Building Solutions Sp. z o.o.
Identyfikacja pracowników dedykowanych konkretnym pomieszczeniom opiera się na trzech kategoriach danych, zwanych potocznie:
- „to co ma” (czytniki kart stosujące specjalne algorytmy kodowania),
- „to co zna” (czytniki kart z koniecznością podania PIN),
- „to czym jest” (czytniki biometryczne, np. odciski palca czy skanowanie).
„Pożyczona karta” nie przejdzie
Istnieje szereg elementów mechanicznych stosowanych w kontroli dostępu, przede wszystkim odpowiednia klasa drzwi i śluzy lub bramki obrotowe pozwalające na przejście tylko jednej osoby. Dodatkową zaporą są urządzenia elektroniczne, które sygnalizują przejście tylko jednej osoby przez drzwi po przyłożeniu karty, nie zatrzymując jednocześnie ruchu osób. Stosuje się także systemy identyfikacji przedmiotów w połączeniu z systemami kontroli dostępu uniemożliwiające w ten sposób opuszczenie pomieszczenia z urządzeniem, np. laptopem, nienależącym do danej osoby. Integracja systemów wizyjnych i kontroli dostępu pozwala na weryfikację, czy pracownik wykorzystujący daną kartę dostępu jest faktycznie osobą, za którą się podaje. Możliwe do zastosowania są też systemy umożliwiające stałą lokalizację osób znajdujących się na terenie danej instytucji, co ma duże znaczenie szczególnie w sytuacjach kryzysowych.
Instalowane systemy powinny być integrowane z pozostałymi systemami bezpieczeństwa, np. z telewizyjnym systemem dozorowym (CCTV), co zaowocuje m.in. zwiększeniem liczby nagrywanych klatek na sekundę w czasie wywołanego alarmu. Pozwala to na dokładniejszą weryfikację zdarzeń zarówno w czasie rzeczywistym, jak i po fakcie.
Filozofia jednej karty
Rozwiązania stosowane w obiektach instytucji finansowych muszą gwarantować nieprzerwaną kontrolę nawet w przypadku zaniku zasilania czy braku połączenia z serwerem, zatem często stosowane są systemy autonomiczne i wieloserwerowe. Poza tym niektóre instytucje posiadają rozbudowane siedziby główne oraz sieć placówek w różnych miejscach w kraju – zaawansowane systemy zabezpieczeń muszą to uwzględniać. Wymogami firm z rozproszoną strukturą budynków i oddziałów jest zarówno standaryzacja zabezpieczeń we wszystkich lokalizacjach, jak i zdalna kontrola nad nimi z poziomu centrali.
– W takich przypadkach najlepsze zastosowanie mają systemy pozwalające na koordynowanie dostępów pracowników z centralnej lokalizacji oraz na zintegrowanie informacji o poziomach dostępu z systemem zarządzania uprawnieniami w sieci komputerowej (Active Directory). Niektóre firmy decydują się także na rozwiązania umożliwiające centralne zarządzanie rozproszonymi placówkami z zastosowaniem filozofii jednej karty gwarantującej dostęp we wszystkich lokalizacjach. Jeśli polityka wewnętrzna firmy nie narzuca szczegółów stosowania kart dostępu, my zalecamy gradację dostępów opartą na strukturze personalnej – mówi Michał Turek ze SPIE Building Solutions Sp. z o.o.
Wewnętrzna polityka bezpieczeństwa, w tym kontrole dostępu to jedno z najważniejszych narzędzi gwarantujących płynność funkcjonowania instytucji finansowych. To obszar szczególnie ważny dla pracowników działów nadzorujących systemy, administracji, IT i HR.
SPIE Building Solutions
Wojciech Boczoń