Por Alejandro Espinosa, Director de Ventas de la Unidad de Negocios de Control de Acceso Físico para el Norte de América Latina en HID Global.

Cuando una organización instala un sistema de control de acceso, lo hace básicamente pensando en tres propósitos:

El primero es cuidar de la integridad física de las personas; es decir, evitar que ataquen a alguien. El segundo es proteger la información de la compañía: bases de datos, material sensible, etc. Finalmente se hace para custodiar los activos de la empresa, como los equipos electrónicos o cualquier otro bien que sea vendible.

Así las cosas, se emplean diferentes medios para monitorear y controlar el acceso de las personas a una instalación. Décadas atrás se usaban sistemas de cerraduras y llaves; sin embargo, además de ser vulnerables, las llaves robadas o extraviadas representaban gastos adicionales para las empresas.

Luego, la forma en que el mundo trabajaba e interactuaba con la tecnología, y hasta la manera en que el crimen atacaba, fue cambiando, y el control de acceso migró a sistemas más robustos con credenciales electrónicas o identificación biométrica para otorgar o denegar la entrada a un edificio o propiedad.

Es preocupante, por no decir riesgoso, que en pleno 2020 muchas organizaciones se protejan con sistemas de seguridad diseñados en el siglo pasado. Por esa razón, expondremos algunas recomendaciones para implementar un sistema de control de acceso moderno y sus características.

¿Cuánto debo invertir para un sistema de control de acceso?

Antes de implementar un sistema, es necesario reflexionar sobre las necesidades y el costo de la inversión. En temas de tecnología, cuando se desconocen los riesgos, es muy probable terminar inclinándose por el factor precio.

Es claro: no se pueden tener expectativas de seguridad altas con poca inversión. Desafortunadamente, en el mercado existen proveedores comercializando tecnología desactualizada y vulnerable, que generan confusión en los usuarios, lo que deriva en pérdidas económicas; bien sea por la vulnerabilidad que representan, por su servicio postventa (algunas no cuentan ni con soporte en español) o por los problemas operacionales que generan. 

Un ejemplo de la idea anterior son los lectores, en el caso de los biométricos, si el sensor de la huella es de baja calidad, no tendrá los suficientes puntos de referencia para hacer una autenticación rápida, generando colas de espera; y en el caso de los lectores de tarjetas, sólo aceptarán tecnologías legacy, sin ninguna seguridad, promoviendo la clonación de tarjetas, delito frecuente en América Latina. 

Por eso es importante pensar a mediano y largo plazo, y analizar el retorno a la inversión desde la pregunta: ¿cuáles serían los costos de no proteger los datos, los activos y las personas de mi organización?

Un sistema seguro

Un sistema de control de acceso seguro es aquel que está cifrado de punta a punta, esto se logra, en primer lugar, con una tecnología de identificación (biométrica o de tarjeta) que garantice que no sea duplicable o se pueda clonar; después con la comunicación entre el lector y el panel de control, la cual debe ser encriptada y monitoreada utilizando estándares como OSDP (Open Supervised Devise Protocol), y finalmente con un software que ofrezca los niveles de seguridad para mantener la base de datos protegida, bien sea que se trate de una solución cliente-servidor o en la nube.

Para denominar ‘moderno’a un sistema primero hay que garantizar que sean seguros cada uno de estoselementos que lo componen y que su funcionamiento esté comprobado en el mercado. 

Para asegurar esta confiabilidad,se debe optar por tecnologías que establezcan, comprueben y administren las identidades;es decir, que avalen una gestión completa de credenciales en todo el ciclo de vida de la identificación:desde el momento en que se establece la confiabilidad hasta el retiro de una credencial.

Un sistema moderno debe contar con una autenticación robusta de múltiples factores yque no interrumpa el flujo de trabajo ni la productividad de los usuarios.

Sistema de control de acceso abierto y cerrado

Existe la creencia que, por implementar un sistema de control de acceso con una marca privada, la organización se va a sentir atrapada y no va a poder comprar credenciales o lectores a cualquier comerciante.

Sin embargo, la pregunta sería: ¿qué tan seguro es un sistema abierto? Pues bien, si esa ‘libertad’ pone en riesgo todo el sistema, sería un beneficio ilusorio y desarmaría todo el propósito del proyecto.

Por ejemplo, si las organizaciones tienen las bases de datos abiertas: transacciones, nombres, números de identificación, etc., y si aparte el hardware es vulnerable, entonces los delincuentes pueden fabricar tarjetas con los datos de un empleado y la foto del impostor para entrar en un edificio. 

Para evitar lo anterior, se pueden utilizar marcas que ofrecen protocolos e inscripciones cerradas para aumentar la seguridad; sin embargo hay que aclarar que no se trata de un “cierre total”, a veces se crean unos protocolos para acceder a la información, todo con el objetivo de proteger la integridad de los datos.

¿Qué son los factores de autenticación?

Para un proceso de identificación, sea físico o digital, se comprueba la identidad de la persona que hace la solicitud. Esa verificación se puede ejecutar usando uno o varios factores de autenticación.

Los factores de autenticación se pueden dividir en:

● Lo que sé: el conocimiento que la persona tiene, puede ser un PIN, una contraseña o un patrón.

● Lo que tengo: la identificación que posee un individuo para certificar que es él, como una credencial física o virtual.

● Lo que soy: los rasgos corporales únicos de la persona que se utilizan para verificar la identidad (biometría).

Para aumentar el nivel de seguridad, los sistemas modernos implementan varios factores de autenticación en los puntos de acceso, combinando ‘lo que tengo’ con ‘lo que sé’ y con ‘lo que soy’.

Por otro lado, cabe mencionar que una de las mayores tendencias en los últimos años es el control de acceso móvil, el cual consiste en usar un dispositivo móvil (un teléfono celular, una tableta o un reloj inteligente) para acceder a puertas, compuertas, redes, servicios y otros espacios de acceso restringido.

Además del uso dedispositivos móviles, que por su naturaleza piden al menos un factor de autenticación, esta modalidad representa el compromiso por aportar comodidad y conveniencia de los usuarios, pilar fundamental enlos sistemas de control de acceso de hoy.

Es importante aclarar que la aplicación que soporte una credencial móvil, debe contar con seguridad criptográfica, que además evite que una identificación pueda ser transferida a otro dispositivo.

Por cierto, una de las preguntas más frecuentes relacionadas con este tipo de sistemas es: ¿qué pasa cuando la persona pierde o le roban el dispositivo móvil? Pues bien, gracias al software de gestión del sistema, los jefes de seguridad pueden otorgar o derrocar las identidades, además decontrolar las puertas por tiempo, privilegios, nivel de acceso, etc.

Cuando el sistema usa unaplataforma extra de administración de identidades, se deben eliminar los privilegios de ambas plataformas, aunque en la actualidad el mercado ofrece software de gestión en la nube que ya pueden vincular ambas plataformas.

¿Cómo garantizar una larga vida útil de los sistemas de control de acceso?

Finalmente, cuando hablamos de vida útil en el control de acceso, lo más importante es regular el voltaje de una instalación. Controlar que el sistema tenga una energía regulada es sinónimo de garantizar una larga vida útil del sistema.

Por eso se recomienda contar con reguladores de voltaje, fuentes de poder y baterías de respaldo para los lectores y el panel de control: para que soporten fallas eléctricas y picos de voltaje. Esto es crucial cuando regresa la energía después de una caída, dado que vuelve con mucha fuerza, y es ahí cuando se dañan los sistemas.

Por otro lado está el factor polvo. La recomendación es tener paneles de control con gabinetes perfectamente sellados. De esta manera, también se garantiza la vida útil de estos equipos.